refactor(lua): 内核回归六项职责 —— 登录/浏览器全部移入插件

用户钉死了内核的职责边界，本提交把越界部分全部拆除：

  内核只做：加载适配器 · auto 调度 · 加载插件 · 调度插件 · 维护源与 key · 签发密钥

## 架构纠正（用户指出的根本错误）

我此前把信任模型弄反了。实测：插件 VM 的 os.execute/io.popen/package 全部可达
(true,true,true) —— 插件从来不是 OS 级沙箱。正确的边界是：

  插件   可信（运维安装），非沙箱，有完整 OS 能力 → 平台知识/登录/浏览器归它
  适配器 不可信（可被动态安装），请求级 → 沙箱归它（12 个内置适配器实测均不碰
         os/io/package，后续沙箱化零风险，属独立一步）

## 删除（内核越界部分）

- plugin_browser.go        内核浏览器管理器（Xvfb/chromium/x11vnc/websockify
                           进程栈、回环监听器）—— 388 行全删，浏览器由插件用
                           os.execute 自己拉起（实测 spawn+reap 闭环可用）
- plugin_login.go          登录会话状态机 + LoginFlow 枚举 + VNC 全局门禁
                           —— 457 行全删。"登录"从内核概念中消失
- gateway/browser_proxy.go viewer 反代
- handlePluginLogin API    登录会话列表端点
- vnc_enabled 全局开关     改为 per-plugin 授权（见下）

## 新增（内核职责内的通用机制，无任何登录/浏览器语义）

- plugin_outbound.go       通用额外出站主机授权：插件声明 plugin.hosts（请求）
                           → 运维在设置页逐个批准（授权）。与 kernel actions
                           同一"声明≠授权"模型。内核只知道白名单加减，不知道
                           host 被用来干什么
- on_unload 生命周期钩子   卸载是"调度插件"的一部分：内核在关闭插件状态前调用
                           插件导出的 on_unload，让它自清理外部资源。内核不知道
                           资源是什么（进程/句柄/远端会话都行）。带进程回收回归
                           测试 TestOnUnloadReapsPluginProcesses

## channels.lua 全量接管

- 登录会话自持：plugin.state.sessions（nonce 只在 begin 响应出现一次，
  惰性过期清理）
- 服务端浏览器栈自持：spawnBrowser 用 io.popen 拉起 Xvfb/chromium/x11vnc/
  websockify 并记 pid，reapBrowser 回收；on_unload 兜底
- 优先级阶梯（用户指定）：① 本机浏览器（给 URL）→ ② 自动化（轮询/nonce 回调）
  → ③ VNC 无头浏览器兜底（无浏览器系统/自动化无法完成的场景，如回环重定向
  必须落在服务端）
- plugin.auth_hosts → plugin.hosts（语义泛化：出站主机授权与登录无关）

## 验收

- 全仓旧符号零残留（grep 权威确认，代码+注释+lua+测试）
- 内核非测试代码零厂商名
- build + vet 全绿；lua/core/gateway/types/scheduler/provider 全量测试通过
- channels 端到端（登录→凭据→add_source→模型可见）继续通过

internal/core/channels_plugin_test.go

@@ -12,11 +12,10 @@ import (
 //
 // 这条链路横跨本次所有新增能力，所以它是最有信息量的一个测试：
 //
-//	__llmsproxy_login   创建/轮询登录会话
-//	__llmsproxy_secrets 凭据进保险库（不进 state）
 //	__llmsproxy_kernel  add_source 把平台注册为上游源
 //	内核权限            默认拒绝，需运维授权
-//	登录主机授权        登录域不在源列表里，默认被出站白名单拒绝
+//	额外出站主机授权    登录域不在源列表里，默认被出站白名单拒绝（plugin.hosts）
+//	登录会话            插件自持（plugin.state.sessions），内核无登录概念
 func TestChannelsPluginEndToEnd(t *testing.T) {
 	c := kernelTestCore(t)
 	ps := c.Plugins()
@@ -175,12 +174,12 @@ func TestChannelsPluginDeclaresItsNeeds(t *testing.T) {
 			t.Errorf("应声明 %q, 实得 %v", want, declared)
 		}
 	}
-	// 登录主机声明（非源 host，需单独批准）
-	hosts := ps.PluginAuthHosts("channels")
+	// 额外出站主机声明（非源 host，需单独批准）
+	hosts := ps.PluginExtraHosts("channels")
 	if len(hosts) == 0 {
-		t.Fatal("channels 应声明登录主机")
+		t.Fatal("channels 应声明额外出站主机")
 	}
-	t.Logf("声明内核动作=%v 登录主机=%v", declared, hosts)
+	t.Logf("声明内核动作=%v 额外主机=%v", declared, hosts)
 }
 
 // TestChannelsPluginHandlersRequireStatus 是一个契约回归：插件的每个 handler