feat(update): 差分 OTA + 安装形态分派 + 事件总线统一受安全监控

三条主线，由 e2e 实测驱动。

## 一、差分 OTA（internal/update/delta.go）

实测：改一行逻辑，88MB 的二进制逐字节只差 80 字节，而 OTA 一直下整包。

用 rsync 族的滚动哈希块匹配（4KB 粒度），不是 bsdiff —— 后者需 17×N
峰值内存（88MB → 1.5GB），而升级恰可能发生在内存紧张时。

真实二进制实测：88,036,728 字节 → 补丁 77,316 字节（0.088%）。

三道闸：应用前验旧文件 sha256（错基线会静默产出垃圾）、应用后验结果
sha256、COPY/LITERAL 越界防护。任何失败**退回整包**，不向上抛 ——
差分是优化，不是可用性前提。

接入：Source.Resolve 优先试 delta；CheckRelease 按 -from-<commit8>.delta
匹配（不猜基线）；CLI 新增 -make-delta；打包脚本 build_delta（需
PREVIOUS_HOMED），delta 进 SHA256SUMS。

## 二、安装形态分派（internal/update/install.go + channel.go）

内核对「能不能自己升级」此前只有一个答案：直接替换二进制。而 deb/rpm
形态下那样做会让 dpkg/rpm 数据库与实际内容不一致（下次 apt upgrade
覆盖回旧版，或 dpkg 拒绝后续升级）。

新增探测：deb/rpm/tar/container/source 五类形态 + 变体（full/server/
client/toolchain）+ 目录写权限。判据全部来自可观测系统事实（dpkg 的
info 目录、容器标记文件），不做路径推断。

三端统一走 PlanUpgrade 分派；形态闸门放在**下载 880MB 之前**。

## 三、事件总线统一受安全监控（internal/events + security）

用户指正：「eventbus 上所有事件都要接受安全模块的监控」。

此前 EventPolicy 只被 internal/sdk/events.go 调用，而那是四条路径中的
一条。s.Publish / s.Subscribe / s.EventBus() 拿的是裸 *events.Bus，
任何插件都能绕过策略发任意事件（含伪造内核事件）。

现在闸门在 Bus.Publish/Subscribe 本体上（Guard 接口注入，避免 events
↔ security 成环），四条路径全部覆盖。sdk.EventBus() 改返回带身份的
BusHandle。内核身份免授权，但载荷照样过凭据闸门。

白名单按主体收窄：agent_output/stage/terminal_output 只允许承载者
（webui/cli/agentcli）发布 —— 它们是内核向外的输出面，谁都能发就等于
能伪造 agent 说的话。

## e2e 暴露并修掉的三个真实回归

	[bus] subscribe denied: pluginmgr type=update_request
	[bus] subscribe denied: skillmgr type=skill_detected

前两个让升级请求静默丢失、职责链交接断掉。内部协作事件必须可订阅
（安全边界在发布侧，订阅只是「听得到」）。

## 顺带的止血修复

- 回滚判据从 `--version` 改为 digest：旧内核（1.3.x 及以前）没有该
  flag，而它恰是最常见的回滚目标 —— 原逻辑让「从旧版升级失败」永久
  无法回滚。
- CopyFile 补 fsync（替换 homed 本体时掉电会留半截文件）。
- restore 完整还原才清 marker（原先先清再还原，还原失败就失去第二次
  自愈机会）。
- 回滚时移除升级中新增的 depgraph（否则「旧 homed + 新 depgraph」
  会因 digest 不匹配崩溃循环）。
- homed-upgrade 不再硬编码 systemctl restart（丢 guard 状态、unit 名
  漂移）；改用内核已有的 restartCh → exit 42 语义。
- homed-upgrade 不再用 CGO_ENABLED=0 编却依赖 go-sqlite3（stub 下
  静默失效，该路径从未工作过）；改用 internal/config。
- 服务单元补 User=hologramagent + 三条安装路径补建用户（此前发行物里
  完全没有落实降权）。
- rpm 的 fpm 调用补 --after-install（此前 rpm 装完根本不建用户）。

## 判据

新增 30 条：差分 8（往返/压缩比/错基线/截断/篡改/边界）、通道 8、
执行器 6、事件闸门 8、按主体授权 8。全仓 go test ./... 0 失败。

internal/plugins/webui/kernel_update.go

@@ -33,7 +33,6 @@ import (
 	"net/http"
 	"os"
 
-	"github.com/JianFeeeee/HologramAgent/internal/events"
 	"github.com/JianFeeeee/HologramAgent/internal/update"
 )
 
@@ -70,6 +69,30 @@ func (h *Handler) handleKernelUpdateApply(w http.ResponseWriter, r *http.Request
 	}
 
 	binPath := update.KernelBinaryPath()
+	dataDir := dataDirOf(binPath)
+
+	// ★ 安装形态闸门：先判断“本机能不能自己升”，再决定要不要下载 880MB。
+	//
+	// deb/rpm 形态下文件归包管理器所有，直接替换会让 dpkg/rpm 数据库与
+	// 实际内容不一致（下次 apt upgrade 覆盖回旧版，或 dpkg 拒绝后续升级）。
+	// 此时必须明确告知走包管理器，**而不是**先下载再在 Apply 里失败。
+	//
+	// 容器同理：文件系统随销毁还原，自替换毫无意义。
+	capab := update.Detect(binPath, dataDir)
+	plan := update.PlanUpgrade(capab, body.Pkg)
+	if !plan.Executable {
+		// ★ 用 409（Conflict）而不是 500：这不是“服务器坏了”，
+		// 而是“这个请求在本机形态下不适用”，并且带着可执行指引。
+		writeJSON(w, http.StatusConflict, map[string]interface{}{
+			"applied":      false,
+			"channel":      string(plan.Channel),
+			"install_kind": string(capab.Kind),
+			"variant":      string(capab.Variant),
+			"error":        plan.Reason,
+			"commands":     plan.Commands,
+		})
+		return
+	}
 
 	tmp, err := os.MkdirTemp("", "kernel-upgrade-*")
 	if err != nil {
@@ -85,13 +108,13 @@ func (h *Handler) handleKernelUpdateApply(w http.ResponseWriter, r *http.Request
 	}
 	newDG := update.FindFile(root, "depgraph.bin")
 
-	// WebUI 侧天然有总线（它就是 SSE 的上游）：升级每一步都让界面看得到
-	var bus *events.Bus
-	if h.sdk != nil {
-		bus = h.sdk.EventBus()
-	}
-
-	out, err := update.Apply(root, binPath, newDG, dataDirOf(binPath), bus)
+	// ★ 不再自己取总线：进度事件由 internal/update 以**内核身份**发出
+	// （内核在启动时 SetEventBus 注入了总线）。
+	//
+	// 之前这里从 sdk 拿 *events.Bus 再传给 Apply —— 那既是"安全监控可被
+	// 绕过"的根源（插件持有裸总线就能伪造任意事件），也让插件依赖了
+	// 一个它本不该有的能力。
+	out, err := update.Apply(root, binPath, newDG, dataDir, nil)
 	if err != nil {
 		writeJSONError(w, http.StatusInternalServerError, err.Error())
 		return
@@ -140,15 +163,16 @@ func currentKernelVersion() *update.BinVersion {
 	return v
 }
 
-// dataDirOf 推导数据目录（升级确认标记的落点）。
+// dataDirOf 返回内核**真实**的数据目录（升级确认标记的落点）。
 //
-// 与内核 `--data` 必须一致，否则第 0 层 update 模块读不到 pending 标记。
-// 优先用环境变量显式指定（部署方知道自己在哪），否则退回本机生产路径。
+// ★ 取内核注入值（ks.DataDir），不做任何推导：pending 标记落在哪，
+// 第 0 层 update 模块就从哪读；两边一漂移，升级失败时就**静默不回滚**。
+// 而“猜一个看起来合理的路径”会让 Apply 的空值守卫变成死代码。
+//
+// 拿不到就返回空串，由 Apply 拒绝升级并报错。
+//
+// ⚠️ 不要再加 HOMEAGENT_DATA_DIR 回退：部署方可能不设，而设了也未必
+// 与内核实际的 -data 一致 —— 那正是“看起来在工作”的一类错误。
 func dataDirOf(binPath string) string {
-	if d := os.Getenv("HOMEAGENT_DATA_DIR"); d != "" {
-		return d
-	}
-	// ★ 不写死生产路径：迁移后它会指向一个不存在的目录，
-	// 让升级 pending 标记落错地方（静默不回滚）。返回空由调用方报错。
-	return ""
+	return update.KernelDataDir()
 }