v4.22.2: 兼容 fake-ip DNS 解析，防止上游主机被误拦截 (BLOCKED_HOST)

修复

• fake-ip 环境下上游被误拦（BLOCKED_HOST）：本机 clash 系代理开启 fake-ip 模式（TUN/DNS 劫持）时，
  api.commandcode.ai 会被解析为 198.18.x.x 假 IP，DNS rebinding guard 将其判为保留地址直接拒绝，
  请求毫秒级失败（2026-09-30 23:40~23:47 批量复现）。修复分两层：
  • 部署侧：start.cmd 注入 COMMANDCODE_UPSTREAM_ALLOWED_HOSTS=api.commandcode.ai，
    将该域名加入 DNS 校验白名单（仅豁免此域，SSRF/rebinding 防护对其它域名不变）；
  • 网关侧（本机 Clash Verge 配置，不入库）：dns.fake-ip-filter 加入 +.commandcode.ai，
    令该域名走真实 IP 解析。
    影响面：API 行为零变化；watchdog.ps1 同步注入环境变量（被 .gitignore 忽略，需本机部署手动同步）。
    已知环境遗留：本机项目根的历史 ~/.env（2026-09-04 凭据文件）使 admin-key-mask 一项隔离断言失败，与本次变更无关。