feat(e2e): 基于 Docker 的 e2e 测试框架 + 修复 3 个 Linux 数据面 bug

.dockerignore

@@ -0,0 +1,11 @@
+# Docker build context 排除（T01 code review I-3）
+# 两个 Dockerfile 都用 context: ../..（仓库根），这里裁掉无关内容
+# 必须保留进 context：internal/ cmd/ go.mod go.sum tests/e2e/fixtures/
+.git/
+bin/
+docs/
+.firecrawl/
+graphify-out/
+*.md
+.DS_Store
+.claude/

.github/workflows/e2e.yml

@@ -0,0 +1,31 @@
+name: e2e
+
+on:
+  push:
+    branches: [master]
+  pull_request:
+    branches: [master]
+
+jobs:
+  e2e:
+    runs-on: ubuntu-latest
+    timeout-minutes: 30
+    steps:
+      - uses: actions/checkout@v4
+        with:
+          persist-credentials: false
+
+      - name: Run e2e (quick mode)
+        run: bash tests/e2e/run.sh --quick
+
+      - name: Collect report
+        if: always()
+        run: |
+          mkdir -p e2e-report
+          cp -r tests/e2e/results ./e2e-report/ 2>/dev/null || true
+
+      - uses: actions/upload-artifact@v4
+        if: always()
+        with:
+          name: e2e-report
+          path: e2e-report/

.gitignore

@@ -1 +1,4 @@
 bin/
+
+# e2e 测试产物
+tests/e2e/results/

README.md

@@ -285,6 +285,30 @@ mesh leave                          # 注销并清理
 | 服务器 | 10.100.0.1 |
 | 客户端（自动分配） | 10.100.0.2 ~ 10.100.0.254 |
 
+## e2e 测试
+
+基于 Docker 的端到端测试（3 容器：1 server + 2 client），验证连通性、性能、故障恢复。
+
+```bash
+# 快速模式（连通性 + 性能，约 2-3 分钟）
+bash tests/e2e/run.sh --quick
+
+# 全量（含故障场景）
+bash tests/e2e/run.sh --all
+
+# 单个场景
+bash tests/e2e/run.sh --scenario 01
+
+# 性能硬门槛（release 用）
+STRICT=1 bash tests/e2e/run.sh --quick
+```
+
+结果输出到 `tests/e2e/results/<timestamp>/`，含各场景 JSON 指标和 `summary.txt`。
+
+> 注：macOS 本机若 docker 走 colima，需先 `export DOCKER_HOST=unix://$HOME/.colima/default/docker.sock`；CI（ubuntu-latest）无需。
+
+详见 `docs/superpowers/specs/2026-07-08-e2e-docker-design.md`。
+
 ## 技术栈
 
 - Go 1.22+

cmd/mesh/main.go

@@ -26,19 +26,21 @@ func main() {
 
 func joinCmd() *cobra.Command {
 	var tok string
+	var insecure bool
 	cmd := &cobra.Command{
 		Use:   "join <domain>",
 		Args:  cobra.ExactArgs(1),
 		Short: "向服务器注册并加入 mesh 网络（无需 root）",
 		RunE: func(c *cobra.Command, args []string) error {
-			if err := client.Join(args[0], tok); err != nil {
+			if err := client.Join(args[0], tok, insecure); err != nil {
 				return err
 			}
 			fmt.Println("Now run 'sudo mesh up' to start the tunnel.")
 			return nil
 		},
 	}
 	cmd.Flags().StringVar(&tok, "token", "", "注册令牌（由服务器管理员提供）")
+	cmd.Flags().BoolVar(&insecure, "insecure", false, "跳过 TLS 证书校验（仅用于 e2e 测试）")
 	_ = cmd.MarkFlagRequired("token")
 	return cmd
 }