fix(release): .hmap 纳入发布产物白名单 + 路径解析

## 白名单（真问题）

`upload_assets.py` 的 ARTIFACT_SUFFIXES 只有 .tar.gz/.zip/.deb/.rpm/.pkg/_win64.exe，
**没有 .hmap** —— 即使插件包已经构建好放在 dist/ 下，上传时也会被静默跳过。
这正是「release 里一个插件包都没有」的直接原因之一。

补 `.hmap` 与 `SHA256SUMS.plugins`（插件包的汇总校验和，与内核包的 SHA256SUMS 分开，
避免混用）。实测 is_artifact() 现能正确识别两者、仍跳过 README.md。

## 测试路径解析

`HMAP_BUNDLE_DIR=dist/plugins` 这种相对仓根的写法原先会失败：测试的 cwd 是包目录
（internal/plugins/pluginmgr），相对路径解析到包内，报 "no such file or directory"，
看起来像产物不存在。改为相对路径按仓根解析（向上找含 go.mod 的目录）。

实测三种调用都正确：相对路径、绝对路径、不设时 skip。

deploy/scripts/upload_assets.py

@@ -32,13 +32,17 @@ ARTIFACT_SUFFIXES = (
     ".rpm",
     ".pkg",
     "_win64.exe",
+    # 插件包。之前不在白名单里，会被静默跳过——而 release 本该带上它们，
+    # 否则用户要自己装 Go + hmapdev 逐插件构建（见 SDK 仓 scripts/build_plugin_bundles.sh）。
+    ".hmap",
+    # 插件包汇总校验和（与 SHA256SUMS 同性质，独立文件免得混淆内核包与插件)
+    "SHA256SUMS.plugins",
 )
 
 
 def is_artifact(name: str) -> bool:
     return name == "SHA256SUMS" or name.endswith(ARTIFACT_SUFFIXES)
 
-
 def get_upload_url(tag: str, token: str, filename: str) -> tuple[str, dict]:
     q = urllib.parse.urlencode({"file_name": filename})
     url = f"{API}/{REPO}/releases/{tag}/upload_url?{q}"