feat(search): 网络搜索新增 DeepSeek 官方来源

不单独配置凭据，直接复用当前激活的 LLM 配置(base_url/api_key/model)。

这个来源与 ddgs/brave/tavily 性质不同：DeepSeek 没有可直接调用的搜索接口，
搜索只存在于其 Anthropic 兼容 messages 接口内部，以 web_search_20250305
服务端工具的形式由 DeepSeek 服务端执行。由此带来几个必须让用户知道的差异，
已在设置页写明：

- 仅支持 DeepSeek 官方端点 + anthropic 协议。实测其 OpenAI 协议端点会直接以
  "unknown variant, expected `function`" 拒绝一切服务端工具，web_search_options
  之类的顶层字段则被静默忽略，没有可用的替代写法。
- 每次搜索额外消耗一次模型调用。
- 搜索请求由 DeepSeek 服务端发出，不经过搜索出口代理，也不计入流量留痕。
- 返回结果只有标题与链接，没有摘要(DeepSeek 只给 encrypted_content)，需要正文
  时仍由 WebFetch 抓取。

上述条件不做程序校验，仅在界面说明，由用户自行确认——配置不满足时搜索会在实际
调用时报错，与其它来源填错 Key 的反馈路径一致，可用「测试搜索」按钮实跑验证。

依赖 norma v0.3.8。

agent/worker.go

@@ -26,17 +26,28 @@ import (
 // goal on its own. Multiple workers run concurrently as goroutines.
 // WebSearchOpts is the web-search backend selection the server pushes into each
 // agent (planner/worker/main). Enabled=false leaves the web_search tool off.
-// Backend is "ddgs" (no key), "brave-free" (BraveKey required), or "tavily"
-// (TavilyKey required). It maps directly onto agentcore.Options.
+// Backend is "ddgs" (no key), "brave-free" (BraveKey required), "tavily"
+// (TavilyKey required), or "deepseek" (DeepSeek* required, filled from the
+// active LLM profile). It maps directly onto agentcore.Options.
 // Proxy is a dedicated egress proxy for the search request (http/https/socks5),
 // independent of the traffic-recording MITM proxy — set it when the search endpoint
 // is only reachable via a VPN/SOCKS proxy. Empty = direct.
+//
+// 注意 deepseek 后端与其它三个的性质不同：DeepSeek 没有可直接调用的搜索接口，
+// 搜索只存在于其 Anthropic 兼容 messages 接口内部(web_search_20250305 server
+// tool)，因此每次搜索会消耗一次模型调用，且搜索请求由 DeepSeek 服务端发出——
+// 不经过本机 Proxy，也不会进流量留痕。
 type WebSearchOpts struct {
 	Enabled   bool
 	Backend   string
 	BraveKey  string
 	TavilyKey string
 	Proxy     string
+	// DeepSeek* 来自当前激活的 LLM 配置(仅 anthropic 格式的 DeepSeek 官方端点)，
+	// 不单独配置，随 LLM 配置切换而变。
+	DeepSeekBaseURL string
+	DeepSeekAPIKey  string
+	DeepSeekModel   string
 }
 
 type Worker struct {
@@ -417,11 +428,14 @@ func (w *Worker) execute(ctx context.Context, name string, taskID int64, as *db.
 		WebFetchCACert: w.proxyCACert,
 		// 联网搜索(可选)。ddgs 无需 key；brave-free 需 BraveKey；tavily 需 TavilyKey。
 		// WebSearchProxy 是独立的出口代理(http/https/socks5)，与记录流量的 MITM 代理无关；空则直连。
-		EnableWebSearch:    w.webSearch.Enabled,
-		WebSearchBackend:   w.webSearch.Backend,
-		BraveSearchAPIKey:  w.webSearch.BraveKey,
-		TavilySearchAPIKey: w.webSearch.TavilyKey,
-		WebSearchProxy:     w.webSearch.Proxy,
+		EnableWebSearch:       w.webSearch.Enabled,
+		WebSearchBackend:      w.webSearch.Backend,
+		BraveSearchAPIKey:     w.webSearch.BraveKey,
+		TavilySearchAPIKey:    w.webSearch.TavilyKey,
+		DeepSeekSearchBaseURL: w.webSearch.DeepSeekBaseURL,
+		DeepSeekSearchAPIKey:  w.webSearch.DeepSeekAPIKey,
+		DeepSeekSearchModel:   w.webSearch.DeepSeekModel,
+		WebSearchProxy:        w.webSearch.Proxy,
 		// Bash 子命令的 HTTP 默认走记录代理 + 信任其 CA（工具无需 -x/-k）。
 		BashEnv:    proxyEnv(w.proxyAddr, w.proxyCACert),
 		WorkingDir: runDir,