修复模型、图片与 MCP 上游误用出站代理

[yokowu]

背景

修正已合并 PR #1338 的代理覆盖范围：模型、图片与 MCP 工具上游应直连，但 MCP OAuth 令牌刷新仍需在有代理时访问授权服务器。

修改

• 文本模型反向代理、Responses 用量补偿和图片生成上游使用独立直连 HTTP Transport。
• MCP 工具调用、OAuth 元数据发现及动态注册继续直连，保留原有目标地址限制和禁止重定向策略。
• MCP OAuth 首次令牌交换及刷新共用独立令牌客户端，支持 HTTPS_PROXY 指向 HTTP 代理访问 HTTPS 令牌端点；本地校验所有解析地址，CONNECT 固定到获准 IP，保留原域名的 Host、TLS SNI 与证书校验；NO_PROXY 命中时仍按原有直连策略执行。
• 更新 .env.example 和 README，说明适用范围与 HTTP 代理/HTTPS 目标的限制。

验证

• cd monkeyai/backend && go test ./...
• cd monkeyai/backend && go vet ./...
• cd monkeyai/backend && go test -race ./internal/mcp ./internal/proxy
• cd monkeyai && docker compose config --quiet
• git diff --check