feat(httpapi): harden control plane and speed up prefix refresh

Очередь job получила lease и fencing, телеметрия и прогресс deploy сохраняются, ревизия пишет manifest входов. Обновление префиксов не переписывает неизменённый снимок, большие наборы идут через COPY, а устаревшая ревизия не попадает в deploy. Бандл ноды кэшируется, prune и постановка job больше не держат горячий путь.

Co-authored-by: Cursor <[email protected]>

internal/nodecli/sync.go

@@ -12,23 +12,23 @@ import (
 
 	"evobgp/internal/birdfmt"
 	"evobgp/internal/bundle"
-	"evobgp/internal/signing"
 )
 
 // SyncConfig drives pull → verify → apply on a replica node.
 type SyncConfig struct {
-	BaseURL    string
-	Token      string
-	SpeakerID  string
-	RevisionID string // empty = latest published on CP
-	PubKeyB64  string
-	PubKeyHex  string
-	ExtractDir string
-	BundlePath string // temp file; default os.TempDir()/evobgp-bundle.tar.gz
-	BirdBin    string
-	BirdcBin   string
-	Socket     string
-	HTTPClient interface {
+	BundleLimits bundle.Limits // zero selects bounded large-config defaults
+	BaseURL      string
+	Token        string
+	SpeakerID    string
+	RevisionID   string // empty = latest published on CP
+	PubKeyB64    string
+	PubKeyHex    string
+	ExtractDir   string
+	BundlePath   string // temp file; default os.TempDir()/evobgp-bundle.tar.gz
+	BirdBin      string
+	BirdcBin     string
+	Socket       string
+	HTTPClient   interface {
 		Do(req interface{}) (interface{}, error)
 	}
 	Timeout time.Duration
@@ -59,12 +59,12 @@ func SyncBundle(ctx context.Context, cfg SyncConfig) (SyncResult, error) {
 	rev := strings.TrimSpace(cfg.RevisionID)
 	if rev == "" {
 		var err error
-		rev, err = fetchLatestRevision(cfg.BaseURL, cfg.Token, cfg.SpeakerID)
+		rev, err = fetchLatestRevisionContext(ctx, cfg.BaseURL, cfg.Token, cfg.SpeakerID)
 		if err != nil {
 			return SyncResult{}, err
 		}
 	}
-	raw, err := fetchBundle(cfg.BaseURL, cfg.Token, cfg.SpeakerID, rev)
+	raw, err := fetchBundleContext(ctx, cfg.BaseURL, cfg.Token, cfg.SpeakerID, rev, cfg.BundleLimits)
 	if err != nil {
 		return SyncResult{}, err
 	}
@@ -75,7 +75,7 @@ func SyncBundle(ctx context.Context, cfg SyncConfig) (SyncResult, error) {
 	if err := os.WriteFile(bundlePath, raw, 0o644); err != nil {
 		return SyncResult{}, err
 	}
-	v, err := signing.VerifyGzippedTar(raw, pub)
+	v, err := bundle.VerifyGzippedTarWithLimits(raw, pub, cfg.BundleLimits)
 	if err != nil {
 		return SyncResult{}, err
 	}
@@ -83,7 +83,7 @@ func SyncBundle(ctx context.Context, cfg SyncConfig) (SyncResult, error) {
 	if err := os.MkdirAll(root, 0o755); err != nil {
 		return SyncResult{}, err
 	}
-	if err := bundle.WriteExtractedFiles(root, v); err != nil {
+	if err := bundle.WriteExtractedFilesWithLimits(root, v, cfg.BundleLimits); err != nil {
 		return SyncResult{}, err
 	}
 	mainRel := v.FindMainBirdConf()