feat(systemd,webui,security): 数据目录一致性接线 + 内嵌主密钥注入

## 1. 数据目录一致性（原为死代码）

`internal/systemd/sync.go` 能编译但**从未接线** —— 没有任何地方调用它。

内核有**两处**数据目录来源且不等价：

	-data <dir>            ← systemd 单元 → memory/graph.db、插件数据根
	core.daemon.data_dir   ← 数据库     → memory/text、documents、knowledge

不一致时数据**分裂**：图记忆在 A、文本/知识在 B，检索跨目录、备份会漏。
生产当前两者一致所以没暴露，但 WebUI 允许改 DB 里的值而**无任何提示**。

接线三处：

 · cmd/homed/main.go 启动时检查，不一致则打告警 + 内联修复命令
 · GET /api/v1/system/data-dir 返回诊断（只在真不一致时给 sync_command）
 · 判据 6 条（InSync/Clean/SyncCommand 内联 sed/备份/daemon-reload/drop-in）

★ 只告警**不改**：静默改 systemd 单元比不提示更危险 —— 改错了服务
起不来，而用户不知道是谁改的。命令里已内联 sed 替换，人复制执行即可。

## 2. 内嵌主密钥（方案 C）

build.sh 支持 `HA_EMBEDDED_KEY_HEX`（64 位 hex）经 -ldflags 注入。
从**环境变量**读而不是写进文件：本仓有两个公开远端，64 位 hex 一旦
写进被跟踪的文件就永久留在 git 历史里。

未设时不注入、不报错：开发机与 CI 本来就不该带生产密钥。
设了但格式不对则**中断构建**（`return 1`）—— 静默产出一个没有内嵌钥的
二进制，会让"防丢失"这个目的悄悄失效。

实测（真机）：磁盘上**没有** security.key 时，仅靠 embedded 密钥即可
Submit + 二次加载解密成功；日志确认
`密钥来源 embedded (构建期注入，指纹 0db8e9c5)`。

## 判据第一版的两个错误（记下来）

 · 没给 UnitPath 就断言"必须含 sed -i" —— 实际 sed 行只在 UnitPath
   非空时生成，判据误报。
 · 断言 `/` 必须转义 —— 但 sed 分隔符是 `|` 不是 `/`。`/` 无需转义；
   真正必须转义的是 `&`（sed 里表示整个匹配）与 `|`（分隔符）。

internal/plugins/webui/datadir_status.go

@@ -0,0 +1,82 @@
+package webui
+
+// 数据目录一致性端点。
+//
+// ## 为什么需要它
+//
+// 内核有**两处**数据目录来源，且不等价：
+//
+//	-data <dir>            ← systemd 单元，决定 ks.DataDir
+//	core.daemon.data_dir   ← 数据库，决定 ks.Cfg.Daemon.DataDir
+//
+// 不一致时数据会**分裂**：图记忆（memory/graph.db）在 -data 那个目录，
+// 而文本/知识/文档在 DB 那个目录 ⇒ 检索跨目录、备份会漏。
+//
+// 生产当前两者一致，所以从没暴露；但 WebUI 允许改 core.daemon.data_dir
+// 而**没有任何提示** —— 用户改完重启就会发现"数据丢了"。
+//
+// ## 只读 + 给命令，绝不自动改
+//
+// 本端点只返回诊断与**可直接粘贴执行的修复命令**（里面已内联 sed 替换）。
+// 不代用户改 systemd 单元：静默改单元比不提示更危险 —— 改错了服务起不来，
+// 而用户不知道是谁改的。修复必须由人执行。
+
+import (
+	"net/http"
+
+	"github.com/JianFeeeee/HomeAgent/internal/systemd"
+)
+
+// dataDirs 取两个数据目录来源。
+//
+//	runtime ← SettingsAPI.DataDir()（= -data，systemd 单元给的那个）
+//	config  ← ConfigAPI.Get().Daemon.DataDir（= DB 里 core.daemon.data_dir）
+//
+// 任一不可用就返回空串 —— 调用方据此判断"无法判定"，而不是拿空串
+// 去比出"不一致"的假警报。
+func (h *Handler) dataDirs() (runtimeDir, configDir string) {
+	if h.settings != nil {
+		runtimeDir = h.settings.DataDir()
+	}
+	if h.config != nil {
+		if cfg := h.config.Get(); cfg != nil {
+			configDir = cfg.Daemon.DataDir
+		}
+	}
+	return runtimeDir, configDir
+}
+
+// handleDataDirStatus 处理 GET /api/v1/system/data-dir
+//
+// 返回：
+//
+//	runtime_dir   当前进程实际用的（-data）
+//	config_dir    数据库里 core.daemon.data_dir
+//	in_sync       两者是否一致
+//	describe      人读的一句话说明
+//	sync_command  不一致时的修复命令（内联 sed，可直接复制执行）
+func (h *Handler) handleDataDirStatus(w http.ResponseWriter, r *http.Request) {
+	if r.Method != http.MethodGet {
+		writeJSONError(w, http.StatusMethodNotAllowed, "只接受 GET")
+		return
+	}
+	runtimeDir, configDir := h.dataDirs()
+	st := systemd.State{
+		RuntimeDataDir: runtimeDir,
+		ConfigDataDir:  configDir,
+	}
+	out := map[string]interface{}{
+		"runtime_dir": runtimeDir,
+		"config_dir":  configDir,
+		"in_sync":     st.InSync(),
+		"describe":    st.Describe(),
+		"under_systemd": systemd.IsUnderSystemd(),
+	}
+	if !st.InSync() {
+		// 只在真正不一致时给命令 —— 一致时给命令会让人以为该做点什么
+		out["sync_command"] = st.SyncCommand(configDir)
+		out["warning"] = "数据目录不一致：图记忆在 runtime_dir，文本/知识/文档在 config_dir。" +
+			"不修复则检索跨目录、备份会漏。请执行 sync_command（勿手改单元，生产用 drop-in 覆盖 ExecStart）。"
+	}
+	writeJSON(w, http.StatusOK, out)
+}

internal/plugins/webui/handler.go

@@ -486,6 +486,8 @@ func (h *Handler) RegisterRoutes(mux *http.ServeMux) {
 	// 危险一个量级 —— 关机之后只能 ssh 上去才能恢复。
 	mux.HandleFunc("/api/v1/kernel/restart", h.requireAPI(h.handleKernelRestart))
 	mux.HandleFunc("/api/v1/kernel/shutdown", h.requireAPI(h.handleKernelShutdown))
+	// 数据目录一致性（两处来源不等价，不一致会数据分裂；见 datadir_status.go）
+	mux.HandleFunc("/api/v1/system/data-dir", h.requireAPI(h.handleDataDirStatus))
 	mux.HandleFunc("/api/v1/agents", h.requireAPI(h.handleAgents))
 	mux.HandleFunc("/api/v1/agents/", h.requireAPI(h.handleAgentByID))
 	mux.HandleFunc("/api/v1/memory", h.requireAPI(h.handleMemory))