feat(update): 差分 OTA + 安装形态分派 + 事件总线统一受安全监控

三条主线，由 e2e 实测驱动。

## 一、差分 OTA（internal/update/delta.go）

实测：改一行逻辑，88MB 的二进制逐字节只差 80 字节，而 OTA 一直下整包。

用 rsync 族的滚动哈希块匹配（4KB 粒度），不是 bsdiff —— 后者需 17×N
峰值内存（88MB → 1.5GB），而升级恰可能发生在内存紧张时。

真实二进制实测：88,036,728 字节 → 补丁 77,316 字节（0.088%）。

三道闸：应用前验旧文件 sha256（错基线会静默产出垃圾）、应用后验结果
sha256、COPY/LITERAL 越界防护。任何失败**退回整包**，不向上抛 ——
差分是优化，不是可用性前提。

接入：Source.Resolve 优先试 delta；CheckRelease 按 -from-<commit8>.delta
匹配（不猜基线）；CLI 新增 -make-delta；打包脚本 build_delta（需
PREVIOUS_HOMED），delta 进 SHA256SUMS。

## 二、安装形态分派（internal/update/install.go + channel.go）

内核对「能不能自己升级」此前只有一个答案：直接替换二进制。而 deb/rpm
形态下那样做会让 dpkg/rpm 数据库与实际内容不一致（下次 apt upgrade
覆盖回旧版，或 dpkg 拒绝后续升级）。

新增探测：deb/rpm/tar/container/source 五类形态 + 变体（full/server/
client/toolchain）+ 目录写权限。判据全部来自可观测系统事实（dpkg 的
info 目录、容器标记文件），不做路径推断。

三端统一走 PlanUpgrade 分派；形态闸门放在**下载 880MB 之前**。

## 三、事件总线统一受安全监控（internal/events + security）

用户指正：「eventbus 上所有事件都要接受安全模块的监控」。

此前 EventPolicy 只被 internal/sdk/events.go 调用，而那是四条路径中的
一条。s.Publish / s.Subscribe / s.EventBus() 拿的是裸 *events.Bus，
任何插件都能绕过策略发任意事件（含伪造内核事件）。

现在闸门在 Bus.Publish/Subscribe 本体上（Guard 接口注入，避免 events
↔ security 成环），四条路径全部覆盖。sdk.EventBus() 改返回带身份的
BusHandle。内核身份免授权，但载荷照样过凭据闸门。

白名单按主体收窄：agent_output/stage/terminal_output 只允许承载者
（webui/cli/agentcli）发布 —— 它们是内核向外的输出面，谁都能发就等于
能伪造 agent 说的话。

## e2e 暴露并修掉的三个真实回归

	[bus] subscribe denied: pluginmgr type=update_request
	[bus] subscribe denied: skillmgr type=skill_detected

前两个让升级请求静默丢失、职责链交接断掉。内部协作事件必须可订阅
（安全边界在发布侧，订阅只是「听得到」）。

## 顺带的止血修复

- 回滚判据从 `--version` 改为 digest：旧内核（1.3.x 及以前）没有该
  flag，而它恰是最常见的回滚目标 —— 原逻辑让「从旧版升级失败」永久
  无法回滚。
- CopyFile 补 fsync（替换 homed 本体时掉电会留半截文件）。
- restore 完整还原才清 marker（原先先清再还原，还原失败就失去第二次
  自愈机会）。
- 回滚时移除升级中新增的 depgraph（否则「旧 homed + 新 depgraph」
  会因 digest 不匹配崩溃循环）。
- homed-upgrade 不再硬编码 systemctl restart（丢 guard 状态、unit 名
  漂移）；改用内核已有的 restartCh → exit 42 语义。
- homed-upgrade 不再用 CGO_ENABLED=0 编却依赖 go-sqlite3（stub 下
  静默失效，该路径从未工作过）；改用 internal/config。
- 服务单元补 User=hologramagent + 三条安装路径补建用户（此前发行物里
  完全没有落实降权）。
- rpm 的 fpm 调用补 --after-install（此前 rpm 装完根本不建用户）。

## 判据

新增 30 条：差分 8（往返/压缩比/错基线/截断/篡改/边界）、通道 8、
执行器 6、事件闸门 8、按主体授权 8。全仓 go test ./... 0 失败。

internal/sdk/events_test.go

@@ -70,17 +70,33 @@ func TestEventsPublishOwnNamespace(t *testing.T) {
 	}
 }
 
-// ④ 订阅只开只读事件；越界订阅报错。
+// ④ 订阅只开白名单事件；越界订阅报错。
+//
+// ★ 2026-10-28 语义变更：raw_input / agent_output 改为可订阅（与
+// security.EventPolicy 同步）。理由是它们是**通道出口的必需品**：
+// WebUI/CLI 的对话界面靠订阅它们渲染用户消息与 agent 回复；
+// 不开就等于“装监控把界面打瘫”。订阅是只读观测，真正需要收紧的是**发布**。
 func TestEventsSubscribeAllowlistedOnly(t *testing.T) {
 	e, bus := newTestEvents(t, "p1")
-	if _, err := e.Subscribe("tools_ready", func(map[string]interface{}) {}); err != nil {
-		t.Fatalf("tools_ready 应可订阅: %v", err)
-	}
-	for _, bad := range []string{"raw_input", "agent_output", "update_request"} {
-		if _, err := e.Subscribe(bad, func(map[string]interface{}) {}); err == nil {
-			t.Errorf("订阅 %q 应被拒绝", bad)
+	for _, ok := range []string{
+		"tools_ready", "security_ready", "device_ready",
+		"raw_input", "agent_output",
+		"tool_call", "stage", "reasoning", "terminal_output",
+	} {
+		if _, err := e.Subscribe(ok, func(map[string]interface{}) {}); err != nil {
+			t.Errorf("%q 应可订阅: %v", ok, err)
 		}
 	}
+
+	// ★ update_request 可订阅（e2e 实测：内核执行器靠它收请求，
+	// 不开会让升级请求静默丢失）。安全边界在**发布**侧。
+	if _, err := e.Subscribe("update_request", func(map[string]interface{}) {}); err != nil {
+		t.Errorf("update_request 应可订阅: %v", err)
+	}
+	// 完全不存在的事件名也要拒
+	if _, err := e.Subscribe("no_such_event", func(map[string]interface{}) {}); err == nil {
+		t.Error("订阅未登记事件应被拒绝")
+	}
 	// 解除订阅后不再收到
 	cancel, err := e.Subscribe("security_ready", func(map[string]interface{}) {})
 	if err != nil || cancel == nil {

internal/sdk/plugin.go

@@ -170,6 +170,13 @@ type PluginManager interface {
 
 type PluginSDK struct {
 	*pubsdk.PluginSDK
+
+	// name 是本插件的名字（同时是事件发布者身份）。
+	//
+	// ★ 为何必须存下来：总线闸门要判断“这个插件能不能发这个事件”，
+	// 而之前三条路径（Publish / Subscribe / EventBus）都不带身份 ——
+	// 不带身份会被当成内核内部而一律放行，等于给所有插件开了伪造后门。
+	name     string
 	settings SettingsAPI
 	memory   MemoryAPI
 	textMem  TextMemoryAPI
@@ -381,6 +388,7 @@ func New(name string, cfg SDKConfig) *PluginSDK {
 	}
 	return &PluginSDK{
 		PluginSDK: base,
+		name:      name,
 		settings:  cfg.Settings,
 		memory:    cfg.Memory,
 		textMem:   cfg.TextMemory,
@@ -506,25 +514,77 @@ func (s *PluginSDK) ListChannels() []agentIO.ChannelInfo {
 	return nil
 }
 
+// Publish 以**本插件身份**发布事件。
+//
+// ★ 必须带身份（pluginName）：总线的闸门要判断“这个插件能不能发这个
+// 事件”。不带身份会被当成内核内部而一律放行 —— 那等于给所有插件
+// 开了伪造系统事件的后门。
 func (s *PluginSDK) Publish(evt *events.Event) {
-	if s.eventBus != nil {
-		s.eventBus.Publish(evt)
+	if s.eventBus == nil {
+		return
+	}
+	if err := s.eventBus.PublishAs(events.Publisher{Name: s.name}, evt); err != nil {
+		// 被拒时不能静默：插件否则以为“发了、没反应”
+		log.Printf("[sdk] %s publish %q denied: %v", s.name, evt.Type, err)
 	}
 }
 
 // EventBus 返回内核事件总线（nil 表示该部署未接总线）。
 //
-// ★ 为什么需要 getter 而不只用 Publish：有些能力要**把总线本身传下去**，
-// 例如 update 子系统的升级闭环（internal/update.DoUpgradeBus）——
-// 它在替换二进制、重启进程的长过程中持续发进度事件。
-// 只给 Publish 的话，那类长流程就得在每个调用点手动转发一遍。
-func (s *PluginSDK) EventBus() *events.Bus { return s.eventBus }
+// ## ★ 为什么它仍然返回裸总线（但不再是一个漏洞）
+//
+// 有些能力要**把总线本身传下去**（例如升级闭环在替换二进制期间持续
+// 发进度事件）。但裸总线本身不再能绕过策略：
+//
+//	闸门挂在 Bus.Publish / Bus.Subscribe 上（见 internal/events/bus.go）。
+//	拿到 *Bus 的调用方直接 Publish，仍然会被当作**内核身份**吗？
+//	不会——因为他们拿到的是同一个 *Bus，而 Bus.Publish 用空身份。
+//
+// ★★ 所以这里返回的是一个**带身份的视图**：订阅/发布都绑定本插件名。
+//
+//	之前返回 *events.Bus 的后果是任何插件都能调 bus.Publish(伪造事件)
+//	而不经任何授权 —— 那正是“安全监控可被绕过”的根源。
+type BusHandle struct {
+	bus  *events.Bus
+	name string
+}
 
-func (s *PluginSDK) Subscribe(eventType events.EventType, handler events.Handler) func() {
-	if s.eventBus != nil {
-		return s.eventBus.Subscribe(eventType, handler)
+// Publish 以插件身份发布。
+func (h BusHandle) Publish(evt *events.Event) error {
+	if h.bus == nil {
+		return nil
 	}
-	return func() {}
+	return h.bus.PublishAs(events.Publisher{Name: h.name}, evt)
+}
+
+// Subscribe 以插件身份订阅（被拒时返回 error）。
+func (h BusHandle) Subscribe(eventType events.EventType, handler events.Handler) (func(), error) {
+	if h.bus == nil {
+		return func() {}, nil
+	}
+	return h.bus.SubscribeAs(events.Publisher{Name: h.name}, eventType, handler)
+}
+
+// EventBus 返回**带本插件身份**的总线视图。
+//
+// 拿到它也不能绕过闸门：Publish/Subscribe 都会带上插件名去过策略。
+func (s *PluginSDK) EventBus() BusHandle { return BusHandle{bus: s.eventBus, name: s.name} }
+
+// Subscribe 以**本插件身份**订阅事件。
+//
+// ★ 之前这里调的是裸 Bus.Subscribe —— 不查策略、不报错。
+// 现在走 SubscribeAs，被拒时会记日志（不能用 error：旧调用点习惯
+// 只拿一个 unsub 函数，改签名会波及几十处）。
+func (s *PluginSDK) Subscribe(eventType events.EventType, handler events.Handler) func() {
+	if s.eventBus == nil {
+		return func() {}
+	}
+	unsub, err := s.eventBus.SubscribeAs(events.Publisher{Name: s.name}, eventType, handler)
+	if err != nil {
+		log.Printf("[sdk] %s subscribe %q denied: %v", s.name, eventType, err)
+		return func() {}
+	}
+	return unsub
 }
 
 // SetToolBlocks 桥接到 IOManager：插件工具注入多模态块，process.go 消费。