fix(ssh-auto): 主機告警 SSH 自動診斷授權（HostHighCpuLoad 不再卡人工審核）

根因：SSH_MCP_ALLOWED_HOSTS 未設定 → _ssh_execute() 全部攔截
      + auto_approve 只認 kubectl 不認 ssh → 主機告警永遠降級人工

修復：
- ConfigMap: 補 SSH_MCP_ALLOWED_HOSTS 四主機白名單
- alert_rules: HostHighCpuLoad 等從 NO_ACTION 改為 ssh_diagnose 指令
- auto_approve: _has_executable 加入 ssh 開頭識別
- decision_manager: _ssh_execute() 加入 ssh_diagnose 路由
- ssh_provider: 新增 ssh_diagnose tool（ps aux + free -h + df -h，只讀）

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

apps/api/src/plugins/mcp/providers/ssh_provider.py

@@ -443,6 +443,15 @@ class SSHProvider(MCPToolProvider):
 
     def _build_command(self, tool_name: str, params: dict) -> str:
         # 所有接受用戶字串的工具，必須先通過 _validate_param() 白名單驗證
+        if tool_name == "ssh_diagnose":
+            # 2026-04-27 Claude Sonnet 4.6: 主機告警自動診斷 — 只讀，不修改任何狀態
+            return (
+                "echo '=== CPU TOP ===' && ps aux --sort=-%cpu | head -15 && "
+                "echo '=== MEMORY ===' && free -h && "
+                "echo '=== DISK ===' && df -h && "
+                "echo '=== LOAD ===' && uptime"
+            )
+
         if tool_name == "ssh_get_top_processes":
             return "ps aux --sort=-%cpu | head -15"