fix(vps-xray): 修复定时重启的四类静默失效并补齐安全不变式测试

Critical-1 timer 时区：[Timer] 段没有 TimeZone= 这个 key，systemd 只会记一条
"Unknown key name" 然后按系统本地时区解析 OnCalendar。VPS 出厂多为 UTC，
用户设「04:00 Asia/Shanghai」会在北京时间 12:00 触发且毫无提示。
改为把时区写进日历表达式本身：OnCalendar=*-*-* HH:MM:00 <TZ>（systemd >= 242）。

Critical-2 前导零：^[0-9]+$ 放行 08/09/010，该值原样写进 guard 的 DAYS=，
而 guard 里是算术展开——010 被当八进制解析成 8 天，08/09 直接报
"value too great for base"，使间隔判断求值为假，落进重启分支变成每天重启。
校验通过后统一 $((10#$days)) 归一化。

Important-3 状态文件写入失败：mkdir 与写时间戳都不检查返回值，/var 写满或
只读时写入失败却照样重启，「先写时间戳」的保护完全失效，退化成每天硬重启且
无限持续。改为 fail-safe：写不进去就报错并跳过本轮。
update_env_field 的三处写入同样补上返回值检查，调用方改在条件位置。

Important-4 未来时间戳：RTC 错乱或 NTP 大幅向后校正时会写下未来的时间戳，
时钟校回后 now-last 恒为负，此后永远跳过且无自愈路径。与「内容非法按 0 处理」
同策略，读到 last > now 时按 0 处理。

Important-5 静默中止：configure_restart_timer 被 harden_system、main 一路裸调用，
set -e 下 systemctl enable 失败会让部署在「8/8 加固」之后无声退出——
start_service / save_env / print_result 全不执行，config.json 已换、防火墙已改，
但 xray 没重启、.env 没更新、链接没打印。三处 systemctl 全部改到条件位置，
enable 不再吞 stderr（规格本就要求靠 systemctl 报错暴露非法时区）。

Important-6 NEXT 语义：list-timers 的 NEXT 是 timer 的「下次唤醒」，每天一次，
不是下次重启时间。新增 print_next_restart，--restart 输出里直接算出并显示
「下次实际重启时间」，README 同步说明差异。

Important-7 安全不变式测试：configure_restart_timer 与 apply_restart_only 原本
零覆盖，「不重启 xray、不碰 vless 链接」这个最重要的承诺恰恰没有回归保护。
补上启用/关闭两个方向的断言，以及 .env 逐字段 diff 与 systemctl 调用日志断言。

Minor-9 README 补充取舍：完整部署的 systemctl restart xray 不更新状态文件。
Minor-11 save_env 注释「这两项」→「这几项」。

测试 61 → 101 项，全部通过。

vps-xray/README.md

@@ -226,13 +226,22 @@ bash deploy.sh --restart           # 按 .env 现有值重建 timer
 
 所以实现是 timer 每天到点唤醒，由 `/usr/local/bin/xray-restart-guard` 读 `/var/lib/xray/last-restart`，满 N 天才真正重启。间隔因此是「距上次实际重启」的真实天数，`N=3` 与 `N=7` 同样准确。
 
-查看下次触发时间与执行记录：
+查看唤醒计划与执行记录：
 
 ```bash
 systemctl list-timers xray-restart.timer
 journalctl -u xray-restart.service -n 20
 ```
 
+> ⚠️ `list-timers` 的 `NEXT` 是 **timer 下次「唤醒」的时间**，不是下次重启的时间。timer 每天唤醒一次，NEXT 因此恒为次日的 `XRAY_RESTART_TIME`；是否真的重启由守卫按间隔判断。设了「每 7 天」且 5 天前刚重启过时，NEXT 显示明天凌晨，但实际还要再等 2 天。
+>
+> 想直接看「下次实际重启时间」，跑一次不带参数的 `bash deploy.sh --restart`（不改任何配置、不重启服务），输出里会算好打印出来。
+
+#### 已知取舍
+
+- **间隔锚点是「上次由守卫执行的重启」，不是任何一次 xray 重启。** 完整部署（`bash deploy.sh`）里的 `systemctl restart xray` 不会更新 `/var/lib/xray/last-restart`——设了每 7 天、距上次守卫重启已 6.9 天时跑一次完整部署，次日守卫仍会判定满 7 天而再重启一次。介意的话可在部署后手动执行 `date +%s > /var/lib/xray/last-restart` 把锚点对齐。
+- **重启失败时时间戳仍已更新**，本轮被跳过，下一轮照常——这是为了避免陷入每天硬重启的循环。但若时间戳**写不进去**（磁盘满、只读挂载），守卫会跳过本轮重启并在日志里报错，宁可不重启也不退化成每日重启。
+
 > 旧字段 `XRAY_DAILY_RESTART` 已废弃。三个新字段都未设置时它仍作为兼容回退（`true` → 每 1 天，其它 → 关闭），重跑部署后 `.env` 会自动换写成新字段。
 
 ### 查看状态 / 日志