feat: 支持 MySQL 公网 TLS CA 校验 (#86)

admin/AGENTS.md

@@ -31,6 +31,9 @@
   不得把 MySQL 端口向全网开放。项目负责人明确批准公网直连时，只允许固定 `/32`
   来源白名单，并同时满足：公网接口其余来源 DROP、账号按来源 IP 创建、最小库权限、
   `REQUIRE SSL`、root 仍仅限本机。公网 IP 变化时先更新白名单，不得临时改成 `%`。
+- Admin 公网连接必须使用 `database.tls_mode: verify_ca` 和服务器公开 CA：要求
+  TLS 1.2+、验证证书链、禁止回退明文。`disabled` 只允许同机或 SSH 隧道连接；
+  不得使用驱动的 `preferred` 或单纯 `skip-verify`。
 - Windows 本地运行允许把 MySQL 账号密码写入已被 Git 忽略的 `admin/config.yaml`；
   线上部署仍优先使用权限为 `600` 的环境文件。`CMAUTOBUY_DB_*` 环境变量按字段
   覆盖 YAML，真实 `config.yaml` 不得提交、打包、截图或复制到工单和日志。