refactor(update): 内核与插件更新合并为 update 子系统（三端共享一个底层）

## 为什么合并（用户口径：更新部分应独立为子系统）

之前 kernelupgrade / pluginupdate 两个包，但它们共享三样东西，
分开写就要各复制一份，然后慢慢不一致：

① **版本比较** —— 合并前共 6 个函数做同一件事：
   kernel 侧 ParseSemver / CmpSemver / versionNewer / trimTagV
   plugin 侧 trimV / isNewer / semverNums（还自带一份正则）
   且**行为不一致**：kernel 侧只挡 len<2，"1.4" 漏过去被填成 1.4.0；
   plugin 侧的正则要求两段所以也漏。两份都把 "1.4" 当合法版本。

② **两阶段交互**（检查 → 确认 → 执行）—— 同一套用户口径。

③ **失败要响亮** —— 都不静默降级。

## 收敛结果

internal/update/
  doc.go     子系统头：职责边界、三端共享契约、为何不分家
  semver.go  ParseSemver / CmpSemver / Newer / TrimTag（**唯一一份**）
  kernel.go  内核升级闭环（解包→校验→备份→替换→重启→复核→回滚）
  release.go GitHub Release 查询
  plugin.go  插件升级（查仓库→拉源码→hmapdev 编译→产物）

三端共享：
  agent 工具（plugin_update / kernel_update）  ┐
  WebAPI（/plugins/update、/kernel/update）    ├─ internal/update
  CLI（homed-upgrade）                         ┘

入口层只做参数解析与结果呈现，不含业务逻辑 —— 否则会出现
"agent 说没有新版、WebUI 却升了级"的分裂状态。

## 合并时抓到的两个真实 bug

① **ParseSemver 只挡 len<2** ⇒ "1.4" 被零值填成 1.4.0，
   「1.4 → 1.4.0」被判完全相同（说"无需升级"），而两者内容未必相同。
   现在要求恰好三段。

② **不认 v 前缀** ⇒ GitHub release tag 全是 v1.4.0 形态，
   CLI 对"当前 v1.4.0 vs 包内 v1.4.0"判不可比、只能退回字符串比较。
   现在 TrimTag 去 v 前缀后再比。

## 新增入口

· plugin_update（agent 工具）+ GET/POST /plugins/update
  —— 两阶段：apply=false 只检查（列出 updatable / no_repo 两类，
     后者是"未声明仓库、无法自动更新"的内置/私有插件）；
     apply=true 需显式 plugins=all 或名单（不默认全升）
· kernel_update（agent 工具）+ GET/POST /kernel/update
  —— 两阶段同构；apply 只收本机包路径（URL 下载是 CLI 职责，
     agent 不该在推理中发起长下载）

判据：
· internal/update: Newer / TrimTag / ParseSemver 的边界（含上述两个 bug 的回归）
· pluginmgr 入口层 5 条：检查形状、apply 必须显式给范围、
  kernel apply 必须给 pkg 且指向 homed-upgrade、拒绝目录当包

internal/update/release.go

@@ -0,0 +1,114 @@
+package update
+
+import (
+	"encoding/json"
+	"fmt"
+	"io"
+	"net/http"
+	"os"
+	"strings"
+	"time"
+)
+
+// ── kernel_update 的「检查」半边 ──────────────────────────────
+//
+// 升级半边（DoUpgrade）CLI 已在用；这里补「从 GitHub Release 发现新版」，
+// 供 agent 工具与 WebAPI 调用。与 CLI 共享 BinVersion / CompareVersions。
+
+// ghRepo 是内核发布仓库（GitHub Release 的来源）。
+//
+// 为什么不在调用点写死：插件迁移到 HologramAgent 组织后，内核仓也可能
+// 随之迁移；届时只改这一处。环境变量可覆盖（测试/私有部署用）。
+func ghRepo() string {
+	if v := strings.TrimSpace(osGetenv("HOLOGRAM_RELEASE_REPO")); v != "" {
+		return v
+	}
+	return "JianFeeeee/HologramAgent"
+}
+
+var kernelHTTPClient = &http.Client{Timeout: 20 * time.Second}
+
+// ReleaseInfo 是一次「内核检查更新」的结果。
+type ReleaseInfo struct {
+	Current   string `json:"current"`              // 本机版本
+	CurrentC  string `json:"current_commit"`       // 本机 commit
+	Latest    string `json:"latest"`               // 远端最新 release tag
+	LatestURL string `json:"latest_url,omitempty"` // release 页面
+	Asset     string `json:"asset,omitempty"`      // 匹配到的资产名（tar.gz）
+	AssetURL  string `json:"asset_url,omitempty"`  // 资产下载地址
+	HasUpdate bool   `json:"has_update"`
+	Reason    string `json:"reason,omitempty"` // 查不到时的说明
+}
+
+// CheckRelease 查 GitHub Release 并与本机版本比较。
+//
+// current 为 nil 时（读不到本机版本，如老内核没有 --version），
+// 比较会降级为"未知"，但 release 信息照常返回 —— 与 CLI 探测同语义。
+func CheckRelease(current *BinVersion) *ReleaseInfo {
+	info := &ReleaseInfo{}
+	if current != nil {
+		info.Current = current.Version
+		info.CurrentC = current.Commit
+	}
+
+	var rel struct {
+		TagName string `json:"tag_name"`
+		HTMLURL string `json:"html_url"`
+		Assets  []struct {
+			Name               string `json:"name"`
+			BrowserDownloadURL string `json:"browser_download_url"`
+		} `json:"assets"`
+	}
+	url := fmt.Sprintf("https://api.github.com/repos/%s/releases/latest", ghRepo())
+	if err := httpGetJSON(url, &rel); err != nil {
+		info.Reason = "无法查询 GitHub Release：" + err.Error()
+		return info
+	}
+	if rel.TagName == "" {
+		info.Reason = "仓库还没有任何 release"
+		return info
+	}
+	info.Latest = TrimTag(rel.TagName)
+	info.LatestURL = rel.HTMLURL
+
+	// 找本平台资产（linux/amd64）
+	for _, a := range rel.Assets {
+		if strings.Contains(a.Name, "linux") && strings.Contains(a.Name, "amd64") && strings.HasSuffix(a.Name, ".tar.gz") {
+			info.Asset = a.Name
+			info.AssetURL = a.BrowserDownloadURL
+			break
+		}
+	}
+
+	if current == nil || current.Version == "" {
+		info.Reason = "本机版本未知（内核过老，无 --version）：无法比较，请人工确认"
+		return info
+	}
+	info.HasUpdate = Newer(info.Latest, current.Version)
+	return info
+}
+
+// 版本比较走 semver.go 的 Newer / TrimTag（子系统内唯一一份）。
+//
+// 合并前这里有 versionNewer + trimTagV 两个私有函数，与 kernel 侧、
+// plugin 侧各写一份 —— 三份行为不一致是真实的 bug 温床，见 semver.go 注释。
+
+func httpGetJSON(url string, v interface{}) error {
+	req, err := http.NewRequest("GET", url, nil)
+	if err != nil {
+		return err
+	}
+	req.Header.Set("Accept", "application/vnd.github+json")
+	resp, err := kernelHTTPClient.Do(req)
+	if err != nil {
+		return err
+	}
+	defer resp.Body.Close()
+	if resp.StatusCode != http.StatusOK {
+		body, _ := io.ReadAll(io.LimitReader(resp.Body, 200))
+		return fmt.Errorf("HTTP %d: %s", resp.StatusCode, strings.TrimSpace(string(body)))
+	}
+	return json.NewDecoder(resp.Body).Decode(v)
+}
+
+func osGetenv(k string) string { return os.Getenv(k) }