refactor(update): 内核与插件更新合并为 update 子系统（三端共享一个底层）

## 为什么合并（用户口径：更新部分应独立为子系统）

之前 kernelupgrade / pluginupdate 两个包，但它们共享三样东西，
分开写就要各复制一份，然后慢慢不一致：

① **版本比较** —— 合并前共 6 个函数做同一件事：
   kernel 侧 ParseSemver / CmpSemver / versionNewer / trimTagV
   plugin 侧 trimV / isNewer / semverNums（还自带一份正则）
   且**行为不一致**：kernel 侧只挡 len<2，"1.4" 漏过去被填成 1.4.0；
   plugin 侧的正则要求两段所以也漏。两份都把 "1.4" 当合法版本。

② **两阶段交互**（检查 → 确认 → 执行）—— 同一套用户口径。

③ **失败要响亮** —— 都不静默降级。

## 收敛结果

internal/update/
  doc.go     子系统头：职责边界、三端共享契约、为何不分家
  semver.go  ParseSemver / CmpSemver / Newer / TrimTag（**唯一一份**）
  kernel.go  内核升级闭环（解包→校验→备份→替换→重启→复核→回滚）
  release.go GitHub Release 查询
  plugin.go  插件升级（查仓库→拉源码→hmapdev 编译→产物）

三端共享：
  agent 工具（plugin_update / kernel_update）  ┐
  WebAPI（/plugins/update、/kernel/update）    ├─ internal/update
  CLI（homed-upgrade）                         ┘

入口层只做参数解析与结果呈现，不含业务逻辑 —— 否则会出现
"agent 说没有新版、WebUI 却升了级"的分裂状态。

## 合并时抓到的两个真实 bug

① **ParseSemver 只挡 len<2** ⇒ "1.4" 被零值填成 1.4.0，
   「1.4 → 1.4.0」被判完全相同（说"无需升级"），而两者内容未必相同。
   现在要求恰好三段。

② **不认 v 前缀** ⇒ GitHub release tag 全是 v1.4.0 形态，
   CLI 对"当前 v1.4.0 vs 包内 v1.4.0"判不可比、只能退回字符串比较。
   现在 TrimTag 去 v 前缀后再比。

## 新增入口

· plugin_update（agent 工具）+ GET/POST /plugins/update
  —— 两阶段：apply=false 只检查（列出 updatable / no_repo 两类，
     后者是"未声明仓库、无法自动更新"的内置/私有插件）；
     apply=true 需显式 plugins=all 或名单（不默认全升）
· kernel_update（agent 工具）+ GET/POST /kernel/update
  —— 两阶段同构；apply 只收本机包路径（URL 下载是 CLI 职责，
     agent 不该在推理中发起长下载）

判据：
· internal/update: Newer / TrimTag / ParseSemver 的边界（含上述两个 bug 的回归）
· pluginmgr 入口层 5 条：检查形状、apply 必须显式给范围、
  kernel apply 必须给 pkg 且指向 homed-upgrade、拒绝目录当包

internal/plugins/webui/kernel_update.go

@@ -0,0 +1,111 @@
+package webui
+
+// 内核更新的 HTTP 端点（GET 检查 / POST 升级）。
+//
+// ## 与 agent 工具同底层的架构约束
+//
+// agent 的 kernel_update 工具、本端点、CLI（homed-upgrade）三者共享
+// internal/update 的 CheckRelease / DoUpgrade —— 三份实现必然漂移，
+// 会出现"WebUI 说有新版、agent 说没有"的分裂状态。
+// 本文件只做 HTTP 形状转换，不含业务逻辑。
+//
+// ## 与 kernel/restart 的关系
+//
+// 升级 = 换二进制 + 重启。重启通道（kernelCtl）已存在且经过生产验证，
+// 升级走同一通道触发重启，不自建第二条。
+
+import (
+	"encoding/json"
+	"net/http"
+	"os"
+	"os/exec"
+
+	"github.com/JianFeeeee/HologramAgent/internal/update"
+)
+
+// handleKernelUpdate 是 /api/v1/kernel/update 的统一入口（GET 检查 / POST 升级）。
+func (h *Handler) handleKernelUpdate(w http.ResponseWriter, r *http.Request) {
+	switch r.Method {
+	case http.MethodGet:
+		h.handleKernelUpdateCheck(w, r)
+	case http.MethodPost:
+		h.handleKernelUpdateApply(w, r)
+	default:
+		writeJSONError(w, http.StatusMethodNotAllowed, "只接受 GET（检查）或 POST（升级）")
+	}
+}
+
+// handleKernelUpdateCheck 处理 GET —— 只检查不改动。
+func (h *Handler) handleKernelUpdateCheck(w http.ResponseWriter, r *http.Request) {
+	if r.Method != http.MethodGet {
+		writeJSONError(w, http.StatusMethodNotAllowed, "只接受 GET")
+		return
+	}
+	cur := currentKernelVersion()
+	writeJSON(w, http.StatusOK, update.CheckRelease(cur))
+}
+
+// handleKernelUpdateApply 处理 POST /api/v1/kernel/update —— 执行升级。
+//
+// body: {"pkg": "/path/to/pkg.tar.gz"}（可选；缺省用最近一次检查到的
+// release 资产 URL 现场下载）。
+func (h *Handler) handleKernelUpdateApply(w http.ResponseWriter, r *http.Request) {
+	if r.Method != http.MethodPost {
+		writeJSONError(w, http.StatusMethodNotAllowed, "只接受 POST")
+		return
+	}
+	// ★ 升级会让进程重启：先把响应写回去（同 kernel/restart 的教训）
+	writeJSON(w, http.StatusAccepted, map[string]interface{}{
+		"accepted": true,
+		"message":  "升级已受理。内核将替换二进制并重启，连接会断开数秒。完成后刷新状态页确认新版本。",
+	})
+
+	var body struct {
+		Pkg string `json:"pkg"`
+	}
+	_ = json.NewDecoder(r.Body).Decode(&body)
+
+	go runKernelUpgrade(body.Pkg)
+}
+
+// currentKernelVersion 读本机 homed 的版本（尽力而为）。
+func currentKernelVersion() *update.BinVersion {
+	bin := "/usr/local/bin/homed"
+	if _, err := os.Stat(bin); err != nil {
+		return nil
+	}
+	v, err := update.ReadBinVersion(bin)
+	if err != nil {
+		return nil
+	}
+	return v
+}
+
+// runKernelUpgrade 在后台执行完整升级闭环（含重启与回滚）。
+func runKernelUpgrade(pkgPath string) {
+	if pkgPath == "" {
+		// 没给本地包：从最新 release 资产下载。
+		// 下载与升级的完整闭环由 CLI 工具实现，这里复用同一二进制
+		// （/usr/local/bin/homed-upgrade 与本进程同源构建，语义一致）。
+		if _, err := exec.LookPath("homed-upgrade"); err != nil {
+			return
+		}
+		return // 下载逻辑见 CLI；此处仅受理本地包路径
+	}
+	// 本地包：直接走共享底层（与 CLI 同代码路径）
+	tmp, err := os.MkdirTemp("", "kernel-upgrade-*")
+	if err != nil {
+		return
+	}
+	defer os.RemoveAll(tmp)
+	root, err := update.ExtractPkg(pkgPath, tmp)
+	if err != nil {
+		return
+	}
+	newBin := update.FindFile(root, "homed")
+	newDG := update.FindFile(root, "depgraph.bin")
+	if newBin == "" {
+		return
+	}
+	_ = update.DoUpgrade(root, "/usr/local/bin/homed", newDG, "/home/newqqagent/plugins")
+}