refactor(update): 内核与插件更新合并为 update 子系统（三端共享一个底层）

## 为什么合并（用户口径：更新部分应独立为子系统）

之前 kernelupgrade / pluginupdate 两个包，但它们共享三样东西，
分开写就要各复制一份，然后慢慢不一致：

① **版本比较** —— 合并前共 6 个函数做同一件事：
   kernel 侧 ParseSemver / CmpSemver / versionNewer / trimTagV
   plugin 侧 trimV / isNewer / semverNums（还自带一份正则）
   且**行为不一致**：kernel 侧只挡 len<2，"1.4" 漏过去被填成 1.4.0；
   plugin 侧的正则要求两段所以也漏。两份都把 "1.4" 当合法版本。

② **两阶段交互**（检查 → 确认 → 执行）—— 同一套用户口径。

③ **失败要响亮** —— 都不静默降级。

## 收敛结果

internal/update/
  doc.go     子系统头：职责边界、三端共享契约、为何不分家
  semver.go  ParseSemver / CmpSemver / Newer / TrimTag（**唯一一份**）
  kernel.go  内核升级闭环（解包→校验→备份→替换→重启→复核→回滚）
  release.go GitHub Release 查询
  plugin.go  插件升级（查仓库→拉源码→hmapdev 编译→产物）

三端共享：
  agent 工具（plugin_update / kernel_update）  ┐
  WebAPI（/plugins/update、/kernel/update）    ├─ internal/update
  CLI（homed-upgrade）                         ┘

入口层只做参数解析与结果呈现，不含业务逻辑 —— 否则会出现
"agent 说没有新版、WebUI 却升了级"的分裂状态。

## 合并时抓到的两个真实 bug

① **ParseSemver 只挡 len<2** ⇒ "1.4" 被零值填成 1.4.0，
   「1.4 → 1.4.0」被判完全相同（说"无需升级"），而两者内容未必相同。
   现在要求恰好三段。

② **不认 v 前缀** ⇒ GitHub release tag 全是 v1.4.0 形态，
   CLI 对"当前 v1.4.0 vs 包内 v1.4.0"判不可比、只能退回字符串比较。
   现在 TrimTag 去 v 前缀后再比。

## 新增入口

· plugin_update（agent 工具）+ GET/POST /plugins/update
  —— 两阶段：apply=false 只检查（列出 updatable / no_repo 两类，
     后者是"未声明仓库、无法自动更新"的内置/私有插件）；
     apply=true 需显式 plugins=all 或名单（不默认全升）
· kernel_update（agent 工具）+ GET/POST /kernel/update
  —— 两阶段同构；apply 只收本机包路径（URL 下载是 CLI 职责，
     agent 不该在推理中发起长下载）

判据：
· internal/update: Newer / TrimTag / ParseSemver 的边界（含上述两个 bug 的回归）
· pluginmgr 入口层 5 条：检查形状、apply 必须显式给范围、
  kernel apply 必须给 pkg 且指向 homed-upgrade、拒绝目录当包

cmd/homed-upgrade/main.go

@@ -1,6 +1,6 @@
 // Command homed-upgrade 是**内核**升级闭环的 CLI 入口（默认只探测，不写盘）。
 //
-// 实现全部在 internal/kernelupgrade —— 内核侧的 kernel_update 工具走同一套
+// 实现全部在 internal/update —— 内核侧的 kernel_update 工具走同一套
 // 代码，避免"CLI 能升级、agent 调用却把机器搞坏"这类两份实现的漂移。
 //
 // ## 范围：只面向内核
@@ -34,7 +34,7 @@ import (
 	"fmt"
 	"os"
 
-	"github.com/JianFeeeee/HologramAgent/internal/kernelupgrade"
+	"github.com/JianFeeeee/HologramAgent/internal/update"
 )
 
 // fail 打印错误并以非零退出（CLI 专属；库内部一律返回 error）。
@@ -62,45 +62,45 @@ func main() {
 	defer os.RemoveAll(tmp)
 
 	fmt.Printf("== 解包 %s ==\n", *pkgPath)
-	root, err := kernelupgrade.ExtractPkg(*pkgPath, tmp)
+	root, err := update.ExtractPkg(*pkgPath, tmp)
 	if err != nil {
 		fail("解包: %v", err)
 	}
 
 	// ── 1. 当前版本 ──
-	cur, curErr := kernelupgrade.ReadBinVersion(*binPath)
+	cur, curErr := update.ReadBinVersion(*binPath)
 	if curErr != nil {
 		fmt.Printf("⚠️ 读当前内核版本失败: %v\n", curErr)
 		cur = nil
 	} else {
-		fmt.Printf("当前内核: %s (commit %s)\n", cur.Version, kernelupgrade.ShortCommit(cur.Commit))
+		fmt.Printf("当前内核: %s (commit %s)\n", cur.Version, update.ShortCommit(cur.Commit))
 	}
 
 	// ── 2. 新版本 ──
-	newBin := kernelupgrade.FindFile(root, "homed")
+	newBin := update.FindFile(root, "homed")
 	if newBin == "" {
 		fail("包内找不到 homed")
 	}
-	nv, err := kernelupgrade.ReadBinVersion(newBin)
+	nv, err := update.ReadBinVersion(newBin)
 	if err != nil {
 		fail("新内核无法自报版本（可能不是本仓构建的二进制）: %v", err)
 	}
-	fmt.Printf("包内内核: %s (commit %s)\n", nv.Version, kernelupgrade.ShortCommit(nv.Commit))
+	fmt.Printf("包内内核: %s (commit %s)\n", nv.Version, update.ShortCommit(nv.Commit))
 
 	// ── 3. 版本比较 ──
-	verdict := kernelupgrade.CompareVersions(cur, nv)
+	verdict := update.CompareVersions(cur, nv)
 	fmt.Printf("\n== 结论 ==\n%s\n", verdict)
 
 	// ── 4. depgraph 必须与新二进制同批 ──
-	newDG := kernelupgrade.FindFile(root, "depgraph.bin")
+	newDG := update.FindFile(root, "depgraph.bin")
 	if newDG == "" {
 		fmt.Println("⚠️ 包内缺 depgraph.bin —— 内核启动会因依赖图不匹配拒绝启动")
 	} else {
-		fmt.Printf("depgraph.bin: 包内已带（%d 字节），将与 homed 同批替换\n", kernelupgrade.FileSize(newDG))
+		fmt.Printf("depgraph.bin: 包内已带（%d 字节），将与 homed 同批替换\n", update.FileSize(newDG))
 	}
 
 	// ── 5. 插件兼容性预判（OTA 最容易出事的点）──
-	incompat := kernelupgrade.ProbePluginCompat(*pluginsDir, nv.SDKVersion)
+	incompat := update.ProbePluginCompat(*pluginsDir, nv.SDKVersion)
 	if len(incompat) > 0 {
 		fmt.Printf("\n== 插件兼容性警告（%d 个）==\n", len(incompat))
 		fmt.Println("换内核后这些插件会握手失败并被**自动禁用**（写入禁用配置 + 原因）：")
@@ -118,7 +118,7 @@ func main() {
 	}
 
 	// ── 6. 真正升级（备份 → 替换 → 重启 → 后置验证 → 失败回滚）──
-	if err := kernelupgrade.DoUpgrade(root, *binPath, newDG, *pluginsDir); err != nil {
+	if err := update.DoUpgrade(root, *binPath, newDG, *pluginsDir); err != nil {
 		fail("升级失败: %v", err)
 	}
 }