feat(update): 差分 OTA + 安装形态分派 + 事件总线统一受安全监控

三条主线，由 e2e 实测驱动。

## 一、差分 OTA（internal/update/delta.go）

实测：改一行逻辑，88MB 的二进制逐字节只差 80 字节，而 OTA 一直下整包。

用 rsync 族的滚动哈希块匹配（4KB 粒度），不是 bsdiff —— 后者需 17×N
峰值内存（88MB → 1.5GB），而升级恰可能发生在内存紧张时。

真实二进制实测：88,036,728 字节 → 补丁 77,316 字节（0.088%）。

三道闸：应用前验旧文件 sha256（错基线会静默产出垃圾）、应用后验结果
sha256、COPY/LITERAL 越界防护。任何失败**退回整包**，不向上抛 ——
差分是优化，不是可用性前提。

接入：Source.Resolve 优先试 delta；CheckRelease 按 -from-<commit8>.delta
匹配（不猜基线）；CLI 新增 -make-delta；打包脚本 build_delta（需
PREVIOUS_HOMED），delta 进 SHA256SUMS。

## 二、安装形态分派（internal/update/install.go + channel.go）

内核对「能不能自己升级」此前只有一个答案：直接替换二进制。而 deb/rpm
形态下那样做会让 dpkg/rpm 数据库与实际内容不一致（下次 apt upgrade
覆盖回旧版，或 dpkg 拒绝后续升级）。

新增探测：deb/rpm/tar/container/source 五类形态 + 变体（full/server/
client/toolchain）+ 目录写权限。判据全部来自可观测系统事实（dpkg 的
info 目录、容器标记文件），不做路径推断。

三端统一走 PlanUpgrade 分派；形态闸门放在**下载 880MB 之前**。

## 三、事件总线统一受安全监控（internal/events + security）

用户指正：「eventbus 上所有事件都要接受安全模块的监控」。

此前 EventPolicy 只被 internal/sdk/events.go 调用，而那是四条路径中的
一条。s.Publish / s.Subscribe / s.EventBus() 拿的是裸 *events.Bus，
任何插件都能绕过策略发任意事件（含伪造内核事件）。

现在闸门在 Bus.Publish/Subscribe 本体上（Guard 接口注入，避免 events
↔ security 成环），四条路径全部覆盖。sdk.EventBus() 改返回带身份的
BusHandle。内核身份免授权，但载荷照样过凭据闸门。

白名单按主体收窄：agent_output/stage/terminal_output 只允许承载者
（webui/cli/agentcli）发布 —— 它们是内核向外的输出面，谁都能发就等于
能伪造 agent 说的话。

## e2e 暴露并修掉的三个真实回归

	[bus] subscribe denied: pluginmgr type=update_request
	[bus] subscribe denied: skillmgr type=skill_detected

前两个让升级请求静默丢失、职责链交接断掉。内部协作事件必须可订阅
（安全边界在发布侧，订阅只是「听得到」）。

## 顺带的止血修复

- 回滚判据从 `--version` 改为 digest：旧内核（1.3.x 及以前）没有该
  flag，而它恰是最常见的回滚目标 —— 原逻辑让「从旧版升级失败」永久
  无法回滚。
- CopyFile 补 fsync（替换 homed 本体时掉电会留半截文件）。
- restore 完整还原才清 marker（原先先清再还原，还原失败就失去第二次
  自愈机会）。
- 回滚时移除升级中新增的 depgraph（否则「旧 homed + 新 depgraph」
  会因 digest 不匹配崩溃循环）。
- homed-upgrade 不再硬编码 systemctl restart（丢 guard 状态、unit 名
  漂移）；改用内核已有的 restartCh → exit 42 语义。
- homed-upgrade 不再用 CGO_ENABLED=0 编却依赖 go-sqlite3（stub 下
  静默失效，该路径从未工作过）；改用 internal/config。
- 服务单元补 User=hologramagent + 三条安装路径补建用户（此前发行物里
  完全没有落实降权）。
- rpm 的 fpm 调用补 --after-install（此前 rpm 装完根本不建用户）。

## 判据

新增 30 条：差分 8（往返/压缩比/错基线/截断/篡改/边界）、通道 8、
执行器 6、事件闸门 8、按主体授权 8。全仓 go test ./... 0 失败。

internal/events/bus.go

@@ -175,6 +175,15 @@ type Handler func(event *Event)
 type Bus struct {
 	mu   sync.RWMutex
 	subs map[EventType][]Handler
+
+	// guard 是**总线闸门**（可 nil = 不设闸门）。
+	//
+	// ★ 放在总线上而不是适配层：在此之前，策略只存在于
+	// internal/sdk/events.go 那一条路径，而 s.EventBus() 和 s.Subscribe()
+	// 拿的是裸总线 —— 任何插件都能绕过它发任意事件（含伪造内核事件）。
+	//
+	// 现在：Publish / Subscribe 本身先问 guard，绕不过去。
+	guard Guard
 }
 
 func NewBus() *Bus {
@@ -183,7 +192,59 @@ func NewBus() *Bus {
 	}
 }
 
+// SetGuard 注入闸门（由装配方调用，通常一次）。
+//
+// 传 nil 等于"不设闸门"（开发/test 场景）。
+func (b *Bus) SetGuard(g Guard) {
+	b.mu.Lock()
+	b.guard = g
+	b.mu.Unlock()
+}
+
+// Guard 返回当前闸门（可能 nil）。
+func (b *Bus) Guard() Guard {
+	b.mu.RLock()
+	defer b.mu.RUnlock()
+	return b.guard
+}
+
+// Publish 以**内核身份**发布（等价于 PublishAs{Name: ""}）。
+//
+// 保留这个签名是为了不让几十个内核调用点全部改签名：内核模块本来就
+// 是可信主体，它们不需要授权判定。但**载荷脱敏照样执行**。
 func (b *Bus) Publish(evt *Event) {
+	_ = b.publishAs(Publisher{}, evt)
+}
+
+// PublishAs 以指定身份发布（**插件侧必须用这个**）。
+//
+// 返回 error：被拒时要让调用方知道，而不是静默丢弃。
+func (b *Bus) PublishAs(p Publisher, evt *Event) error {
+	return b.publishAs(p, evt)
+}
+
+func (b *Bus) publishAs(p Publisher, evt *Event) error {
+	if evt == nil {
+		return nil
+	}
+
+	b.mu.RLock()
+	g := b.guard
+	b.mu.RUnlock()
+
+	if g != nil {
+		// ① 授权
+		if allowed, reason := g.AllowPublish(p, evt.Type); !allowed {
+			log.Printf("[bus] publish denied: publisher=%q type=%q: %s",
+				p.Name, evt.Type, reason)
+			return &DeniedError{Publisher: p.Name, EventType: string(evt.Type), Reason: reason}
+		}
+		// ② 载荷脱敏（**内核身份也过**：内核也可能把敏感值拼进事件）
+		if evt.Payload != nil {
+			evt.Payload = g.ScrubPayload(evt.Type, evt.Payload)
+		}
+	}
+
 	b.mu.RLock()
 	allHandlers := make([]Handler, len(b.subs[EventAll]))
 	copy(allHandlers, b.subs[EventAll])
@@ -197,6 +258,7 @@ func (b *Bus) Publish(evt *Event) {
 	for _, h := range typeHandlers {
 		b.safeCall(h, evt)
 	}
+	return nil
 }
 
 func (b *Bus) safeCall(h Handler, evt *Event) {
@@ -208,7 +270,38 @@ func (b *Bus) safeCall(h Handler, evt *Event) {
 	h(evt)
 }
 
+// Subscribe 以**内核身份**订阅（内核模块用）。
 func (b *Bus) Subscribe(eventType EventType, handler Handler) func() {
+	fn, err := b.subscribeAs(Publisher{}, eventType, handler)
+	if err != nil {
+		// 内核身份不会被拒（策略只约束插件），但保留返回值以防将来收紧
+		log.Printf("[bus] kernel subscribe rejected: %v", err)
+	}
+	return fn
+}
+
+// SubscribeAs 以指定身份订阅（**插件侧必须用这个**）。
+func (b *Bus) SubscribeAs(p Publisher, eventType EventType, handler Handler) (func(), error) {
+	return b.subscribeAs(p, eventType, handler)
+}
+
+func (b *Bus) subscribeAs(p Publisher, eventType EventType, handler Handler) (func(), error) {
+	b.mu.RLock()
+	g := b.guard
+	b.mu.RUnlock()
+
+	// EventAll 是内部通配订阅，不做逐类型判定（只允许内核使用：
+	// 插件走 s.Events().Subscribe 时本来就限制了具体类型）。
+	if g != nil && eventType != EventAll {
+		if allowed, reason := g.AllowSubscribe(p, eventType); !allowed {
+			log.Printf("[bus] subscribe denied: publisher=%q type=%q: %s",
+				p.Name, eventType, reason)
+			return func() {}, &DeniedError{
+				Publisher: p.Name, EventType: string(eventType), Reason: reason, Subscribe: true,
+			}
+		}
+	}
+
 	b.mu.Lock()
 	b.subs[eventType] = append(b.subs[eventType], handler)
 	b.mu.Unlock()
@@ -223,5 +316,5 @@ func (b *Bus) Subscribe(eventType EventType, handler Handler) func() {
 				break
 			}
 		}
-	}
+	}, nil
 }