feat(frp): frps vhost 回源端口支持 80/443，公网反代在该配置下不再适用

- 服务端表单不再硬性拒绝 vhostHTTPPort=80 / vhostHTTPSPort=443，改为保存时弹窗二次确认；
  确认后请求携带 allow_privileged_vhost_ports 提交并由后端校验放行，未携带标记的请求（含直接调 API）仍被拒绝
- frps.toml 生成改为写入风险注释、不再报错；各规则的公网反代回源地址随 80/443 自动跟随
- 「公网反代」页检测到 80/443 后显示说明卡片并隐藏统计/Nginx/规则台账/漂移区块，
  同时跳过 agent 的路由、漂移与健康请求
- 后端 DeployAgentRoute 与 RedeployAllRoutes（含漂移一键修复）拒绝下发，自动下发路径 syncAgentRoute 跳过
- 新增 internal/frp/vhost_port_test.go：校验、二次确认、frps.toml 生成、反代回源跟随与守卫对照

internal/frp/route_drift.go

@@ -159,6 +159,14 @@ type RedeployAllResult struct {
 // RedeployAllRoutes 把该服务端上所有启用中的公网反代规则重新下发一遍。
 // 逐条执行、单条失败不中断（沿用 Reload 的隔离报错风格），返回逐条结果供前端汇总展示。
 func (s *Service) RedeployAllRoutes(ctx context.Context, serverID int64) (RedeployAllResult, error) {
+	server, err := s.store.GetServer(ctx, serverID)
+	if err != nil {
+		return RedeployAllResult{}, err
+	}
+	// 80/443 回源端口的服务端不做任何公网反代下发（含漂移一键修复）
+	if privilegedVhostPorts(server.Options) {
+		return RedeployAllResult{}, errPrivilegedVhostNoPublicProxy()
+	}
 	proxies, err := s.store.ListEnabledProxies(ctx, serverID)
 	if err != nil {
 		return RedeployAllResult{}, err