docs(us4): sing-box :6443 代理 + 根盘回收 91%→43% (Plane VPS-99/100)

新增独立 HTTPS forward proxy：Traefik 新 entrypoint proxyin(:6443) 终止 TLS，
后端 sing-box（HTTP inbound + users 认证 + direct 出站），与既有 :443
nghttpx/squid 链路并存。宿主机只新增 6443/tcp；容器不发布 host 端口。

新增 compose/sing-box/（镜像 digest 钉版）与两份 runbook：
- proxy-health.md：:443/:6443 只读健康检查，含开放代理负向测试
- proxy-client-setup.md：curl / env / 浏览器扩展配置与三类失败排查
  （407 无认证头、页面加载不全=CDN 域名漏配、urllib/wget 不支持 TLS-to-proxy）

同批根盘回收 91%→43%（约 14G）：rust/node/.go/podman 孤儿存储/apt/journal/
未用镜像/容器日志；journald 加 SystemMaxUse=200M；nghttpx+squid+traefik 加
json-file 轮转 10m×3；删除 ~/.cargo 后修好 zshenv/bashrc/profile 的失效 source。

验证：:6443 LE 证书、匿名 407、CONNECT 与绝对 URI 均返回 185.201.226.122；
us4-gate 401 / update 200 / trlm 302；8 容器全部 Up；validate-repo.sh PASS。

compose/README.md

@@ -17,6 +17,7 @@ files: every secret is a `${VAR}` reference resolved from the **server-local
 | `unifi` | ubnt (`/home/windy/unifi-9`) | — (待从 LAN 提取) | static file (pending) |
 | `wireguard` | us4 (`/opt/wireguard`) | `ansible/templates/wireguard-compose.yml.j2` | role-rendered (inventory vars) |
 | `rustdesk` | hk2 (`/opt/rustdesk`) | `ansible/roles/rustdesk/templates/compose.yml.j2` | role-rendered (inventory vars) |
+| `sing-box` | us4 (`/opt/sing-box`) | `compose/sing-box/compose.yml` (+ `config.example.json`) | static file（参考镜像, 未接入 compose-deploy; 服务器文件为准; 凭据仅存服务器 `config.json` 0600, VPS-99） |
 | `mailcow` | mx2 (`/opt/mail`) | — (mailcow update generator owns it) | excluded by design |
 
 Mechanism rule: **static** `compose/<project>/compose.yml` for declarations that