feat(webui): 总览底部源码区改为独立的「开源许可」框（协议 + 全文 + 源码）

此前总览底部只在 KPI 卡里挂了一行小链接（.ov-foot），既看不出受什么许可
约束，也看不出 AGPL 网络服务场景下的义务。现在单独成一张卡：

  开销许可
    许可协议     AGPL-3.0-only   → GNU 官方全文
    源码仓库     <source_url>    → 仓库
    网络服务条款（§13）：把修改后的版本作为网络服务对外提供时，
                        必须向使用者提供取得对应源码的途径。

内核侧（License 是新事实，不能只靠前端写死）：
- internal/meta：新增 License（SPDX 标识）与 LicenseURL，都可 -ldflags 覆盖。
  LicenseURL 默认指向 GNU 官方 AGPL-3.0 全文页 —— 与仓库托管方、分支名、
  文件路径都无关，换仓库/换分支不会失效。
- internal/sdk/status.go 的 BuildStatus：新增 License / LicenseURL 两个
  json 字段（additive，旧消费方忽略未知字段即可）。
  ❗注意 internal/sdk 不受公开接口冻结约束（docs/git-branching.md §六），
  本次未触碰 third_party/homeagent-sdk/sdk/。
- internal/agent/core/status.go：从 meta 填充。

前端：
- 骨架里 .ov-foot 换成独立的 <div class="card" id="ov-legal">（放在 KPI 卡之后）。
- 网络条款那一段按许可标识是否含 AGPL 决定是否渲染，不硬写协议名。
- 内容对一次构建是常量，沿用 __html 比对，填一次后不再重建（不引入闪烁）。

验证（现网 1400x920，CDP 实测）：
- /api/v1/kernel 的 build 现在带 license="AGPL-3.0-only"、
  license_url="https://www.gnu.org/licenses/agpl-3.0.html"
- 卡片为真框：class=card、border 1px、radius 14px；总览结构 = rt-panel | card | ov-legal
- 两个链接均为真 <a>，target=_blank + rel=noopener noreferrer
- updateOverview() 再跑一次，卡片子节点身份不变（不重建、不闪）
- 回归：KPI 版本副行、阶段管道 5 节点/5 列/6 SVG、队列 5 行×5 格 均正常
- 无横向溢出；总览/侧栏/顶栏渲染文本无 emoji
- go vet 干净；agent/core、plugins/webui、plugins 全量测试通过

internal/sdk/status.go

@@ -251,6 +251,13 @@ type BuildStatus struct {
 	// 服务时，要给他们拿到 Corresponding Source 的机会——WebUI 状态页会把它渲染成
 	// 可见链接，所以**修改后对外部署的分支必须把这个值改指向自己的源码仓库**。
 	SourceURL string `json:"source_url,omitempty"`
+	// License 是开源许可标识（SPDX，如 AGPL-3.0-only）。
+	//
+	// 为何与 SourceURL 分开：只看一个源码链接，使用者没法从界面上看出这是什么
+	// 许可、网络服务场景下有哪些义务。许可名与许可全文地址是两个独立事实。
+	License string `json:"license,omitempty"`
+	// LicenseURL 是 License 对应的全文地址。
+	LicenseURL string `json:"license_url,omitempty"`
 }
 
 type TrackerStatus struct {