feat: LAMOST DR12-14 与子版本体系接入、观测层安全加固与并发异步化

- LAMOST 新增 DR12/13/14 及子版本（v0/v1.0/v1.1/v2.0）维度，Internal 发布标记需登录认证并前端灰显，release×subtype 交叉约束下沉至 capabilities 统一声明
- ObservationFetcher trait 扩展版本/认证/交叉约束能力声明，version 参数贯穿 client→service→API→Agent tool→前端全链路
- 安全：observation cache SQL 全参数绑定 + LIKE 转义、cone_cache_hash 加长度前缀防碰撞、DESI survey/program 白名单防穿越
- 异步化：persist/cached_files_total_size/maybe_persist_tool_result迁移到 tokio::fs；cancelled_runs 与 session_permission_checkers改用 DashMap；auth 读锁优先 + 60s 节流
- Gaia 去 native-tls 改禁用连接池规避 UnexpectedEof，reqwest 移除 native-tls feature
- 重构：Source/ProductType from_str 集中解析、download 模块拆分为 try_download_pdf/html、AgentRuntime::init 抽取共享逻辑
- 部署：新增 deploy.sh 一键打包推送脚本、catch-panic 启用

src/api/agent.rs

@@ -299,8 +299,7 @@ pub async fn stop_agent(
     State(state): State<Arc<AppState>>,
     Path(session_id): Path<String>,
 ) -> ApiResult<Json<serde_json::Value>> {
-    let mut cancelled = state.cancelled_runs.lock().await;
-    cancelled.insert(session_id.clone());
+    state.cancelled_runs.insert(session_id.clone(), ());
     info!("已接收并记录手动中止请求，会话 ID: {}", session_id);
     Ok(Json(
         serde_json::json!({ "status": "stopping", "session_id": session_id }),
@@ -412,7 +411,12 @@ pub async fn respond_permission(
 
     match perm_id {
         Some(id) => {
-            let perm = perms.remove(&id).unwrap();
+            let perm = match perms.remove(&id) {
+                Some(p) => p,
+                None => {
+                    return Err(AppError::internal("权限请求在查找后消失"));
+                }
+            };
             match perm.response_tx.send(req) {
                 Ok(()) => {
                     info!(