feat(honeypot): 自动保留期清理 + 行数上限 + VACUUM 空间回收 + size 子命令

问题：honeypot_hits 是只追加审计表，写入完全由外部扫描流量驱动（不可预期、
不可节流），而原实现只在手动跑 CLI prune 时才清理，站点运行期表体积只增不减。

实测取证（本地 PostgreSQL 建同构表灌 10.5 万行真实数据）：
- 典型行 244 字节（含索引），10.5 万行 24 MB
- 保留期清理对照（行数恒定 10 万，每轮删 25% 插 25%）：
  有 VACUUM 22→24MB 收敛；无 VACUUM 22→52MB 持续膨胀
- VACUUM 不缩小文件，只让空间可复用；二次实测（5 万行、连续 4 轮删插）
  行数恒定 5 万、文件稳定 15MB 不再增长

改动：
- 新增 HoneypotRetention 后台清理器（每小时一轮）：时间闸 honeypot_retain_days
  + 数量闸 honeypot_max_rows，清理后调 Compact 回收空间
- db: 新增 Compact()（PG 执行 VACUUM (ANALYZE)，走 GORM Exec 非事务路径）、
  DeleteOldestBeyond()（跨方言通用）、ListSinceByIP()、Size()
- 去掉 honeypot_hits.provider 无用索引（10 万行占 648kB，全代码库零查询使用），
  并在启动时显式清理既有库上的旧索引（GORM 去 tag 不会自动删）
- 修 CLI hits --ip 过滤 bug：原先取回最近 N 条再在 Go 侧筛，导致指定 IP 的
  历史命中基本查不出来 → 改到 SQL 层过滤
- 新增 CLI honeypot size 子命令：报告行数、磁盘占用、时间跨度，并与两道闸对照
- 新增配置 honeypot_auto_clean / honeypot_max_rows

conf/app.sample.ini

@@ -80,6 +80,15 @@ enable_honeypot = false             ; 开启后，扫描器探测后台路径（
                                    ; 假页面只含 canary 标记与假凭据，绝不含任何真实信息。
 honeypot_paths =                   ; 追加自定义诱饵路径（逗号分隔），与内置清单取并集。
 honeypot_retain_days = 30          ; 蜜罐命中记录的保留天数（取证用途），到期可用 CLI 清理。
+                                   ; 可用 TamaBox honeypot size 查看行数与磁盘占用。
+honeypot_auto_clean = true           ; 是否启用蜜罐记录的后台自动保留期清理（每小时一轮）。
+                                   ; honeypot_hits 是只追加的审计表，写入完全由外部扫描流量
+                                   ; 驱动，不清理的话表体积只增不减。关闭后仍可手动 prune。
+honeypot_max_rows = 200000          ; 蜜罐命中记录的行数上限（第二道闸）。留空或 0 = 不限。
+                                   ; 保留期是时间维度上界，但攻击者可用海量源 IP 在保留期内
+                                   ; 把表撑爆。实测单行约 281 字节（含索引，常规 UA），20 万行约 53 MB。
+                                   ; 实测数据：连续删 12000 插 12000，行数恒定 5 万，文件稳定在 15 MB 不再增长
+                                   ; （VACUUM 让空间可复用，不保证文件缩小）。
 honeypot_threshold = 1               ; 窗口内蜜罐命中多少次即封禁。默认 1（一次即封）：蜜罐路径
                                    ; 与真实业务路由零交集，正常访客不可能命中，一次即足以判定扫描器。
 honeypot_ban_minutes =              ; 蜜罐封禁时长（分钟）。留空则复用 ban_duration_minutes（15）。