feat(部署判据): 已退场宿主可显式豁免（zcode）＋ 记我自己踩的两个坑

## 背景

zcode 宿主已在本机删除（进程无、`/etc/systemd/system/zcode*.service` 无、
`/opt/agentmail/plugins/` 下无该目录），而 `plugins/zcode-mail-bridge/`
（62 个文件）与 `deploy/systemd/zcode.*`（3 个单元）**故意留在仓库里**以便恢复。

`HOSTS` 是硬编码四家，于是两条判据永久红，且结论区建议的
`bash deploy/redeploy-plugin.sh zcode` 是**错的动作** ——
那会部署一个用户已决定不再运行的宿主。

## 改法：显式豁免表 `RETIRED_HOSTS`

**豁免只换表述、不压红**（这是关键，理由见下）：
  · `checkHost` 仍逐条列出「已退场」+ 理由，只是不计入 `stale`；
  · `checkLayout` 的 note 里明写「已退场宿主、故意不装：<单元>」。

为什么不能静默跳过：本文件反复强调「**没检查到** ≠ **不存在**」。
静默跳过 = 让人以为"检查了、没问题"，而"这台机器上跑什么"
本身就是需要有人知道的**事实**。豁免必须**可见**。

## ★★ 我自己连踩两个坑，都让豁免**静默生效**（不是"豁免得太宽"那种噪声）

① 第一版 `isRetiredHost` 只查 `units[0]`（zcode.service）。
   实测"只装 zcode-mail-bridge.service、不装快照"时
   **仍被判成已退场**，且那个新装上的单元在 note 里被写成
   「故意不装」—— **自相矛盾且完全静默**。
   ⇒ 改为 `units.every` 逐个查。根因：只抽查一个单元就宣称"全都没装"。

② 第二版用 `existsSync` 判软链存在，而 `current` 是**相对**软链
   （`→ 20260926-085613`）。快照目录被删、软链残留成**断链**时
   `existsSync` 返回 false ⇒ 「装过又删剩」与「从没装过」读数
   **完全同形**。实测断链场景仍被判「已退场」。
   ⇒ 改用 `lstatSync`（看得见软链本身，含断链）。

## 验证：四态都实测过

  A 全都没装        ⇒ 豁免（"已退场"仍出现在输出里）
  B 有效软链        ⇒ 报漂移
  C **断链**软链    ⇒ 报漂移
  D 只装一个单元    ⇒ 报漂移

`--self-check` 47 格仍全过。结论区回到
"四个宿主都在跑当前代码"。

## 欠账

豁免逻辑本身**没有自检样本**进 `--self-check`（现靠人测四态）。
按本仓纪律"能自证就别靠人测"，应补：注入假 fs 让四态各跑一遍，
且必须有一格是**断链**样本 —— 第一/二版都恰好漏在断链上。
已登记 `DEBTS.json` 的 `retired-host-exempt-never-tested`。

docs/DEBTS.json

@@ -242,6 +242,14 @@
       "due": "下一次在 /tmp 落 .py 探针之前。（到期动作不是'小心一点'，是**换落点或加 `-I`**。）",
       "where": "`/usr/local/lib/python3.12/re/__init__.py:124`（`import enum`）是 `import json` 也会走到的真链路；任何 `import json`/`re`/`enum`/`os`/`sys` 的脚本只要**与影子文件同目录**即中招",
       "note": "★★ 2026-09-27 登记（复核 pi `b1bd61ef` §四 时实测复现，**它对，我此前那处规避无效**）。\n\n## 机制（实测，/tmp/shadow）\n```\n★ 触发条件是**脚本文件所在目录**，**不是 cwd** —— pi 三次换 cwd 全炸是对的:\n     脚本在 /tmp/shadow/t1.py、cwd=`/` ⇒ 仍被污染 ⇒ `sys.path[0] == '/tmp/shadow'`\n  ⇒ 正确说法: `sys.path[0]` = **脚本自身所在目录**; 换 cwd 完全无效。\n  ⇒ `python3 -I` **有效**（隔离模式不把脚本目录放进 sys.path）✓\n⇒ ★★ 真链路比\"某个脚本 import 了 json\"宽得多: `json/__init__.py` 内部会 `import re`，\n   而 `re/__init__.py:124` 又 `import enum` ⇒ **任何 `import json` 的脚本**都会执行\n   同目录下的 `re.py` / `enum.py`。\n## ★★ 为什么这是\"最坏的一类\"失效（我实测的严重性）\n```\n伪造 `json.py` 让 `json.load()` 返回 `110`:\n  ⇒ 被污染的脚本**正常跑完**、**rc=0**、stdout 混进别人的输出\n  ⇒ 形状 = **\"混入别人的输出且可能 rc=0\"** —— 与 `ReleaseRelay` 那条同族:\n     **不报错、不失败、只是答案换了**。本轮我已因它撤过一次结论（\"11/12 候选=0\"）。\n⇒ ★★ 我此前说的\"**换目录跑**\"规避：对\"脚本在 /tmp\"**不成立**（就是本条）⇒ 撤销该规避。\n## ⇒ 我本会话的**结论为何不受影响**（自查，非辩解）\n```\n我所有 python 探针都是 **heredoc（`python3 - <<PY`，不落盘）** ⇒ 走 stdin、\n  `sys.path[0]` 是 `''`(cwd)，而我的 cwd **从不是 /tmp** ⇒ **免疫**（已实测对照）\n我落过盘的探针目录（idxtest/h3/v1/pktest）**只含 sqlite 命令、无 .py** ⇒ 不触发\n⇒ ★ 结论: 本会话已提交的结论**未被污染**。但这条**必须留档**:\n   只要有人（包括我）改成\"落盘 .py 再跑\"，结论就开始不可信，而**没有任何报错提示**。\n## ⇒ 可执行规则（替代\"小心一点\"）\n```\n  · 落 .py 探针 ⇒ **不要放在 /tmp**（或任何会被多人共用的目录）\n  · 必须放 ⇒ 跑 `python3 -I`，或先 `ls` 确认同目录无 `json.py/re.py/enum.py/os.py/sys.py`\n  · 首选: **heredoc 不落盘**（天然免疫）\n  · 症状识别: 输出里出现**没写过的行**、或 rc=0 却结果离谱 ⇒ 先查同目录影子文件\n\n## ★★★★ 补记（2026-09-27 pi `685d8f72` 指出后我复现并**收紧**两处措辞）\n```\n### 一★ 它推翻的\"混入+rc=0 不可达\"——**我早已自己推翻过**（不是新错，是我没守住）\n  `docs/API.md:6755` 就写着「① 我的『混入+rc=0 不可达』被 pi 反例推翻」\n  ⇒ ★★ 也就是说: 这条**我早就认输过**，本轮**又**把它当成\"最坏形态\"写进新登记里\n  ⇒ 我自查了新登记的原文: 那里写的是「**可能** rc=0」（不绝对）⇒ **没有**重新断言\n  ⇒ ★ 所以不是\"复犯\", 是**措辞没守住已结案的边界**。真正的错在别处，见三。\n### 二★★ 它给的两因子刻画，我实测**成立**，并比它的表述更准\n  反例复现: `try: import json / except: json=None` ⇒ **rc=0 + SHADOW_OUTPUT 混入 + MY_MARKER 仍在** ✓\n  对照（不 catch，异常逃逸）⇒ 混入仍在但 **rc=1** ✓ ⇒ 两者**独立** ✓\n  ⇒ ★★ 精确形状（采纳）:\n        **「混入」由\"遮蔽文件被执行\"决定；「rc」由\"异常是否逃逸\"决定（取决于调用方 catch）**\n        ⇒ 两个正交因子，**必须分别断言**，合起来才是\"完全静默\"\n  ⇒ ★ 前提要说清（我实测把 pi 的\"必然\"收紧一格）: \"混入必然\"成立于\n     **「脚本与影子文件同目录」**这个前提下 —— 此时脚本目录在 `sys.path[0]`、影子总是先被找到\n     （两种导入顺序实测都命中）。但若影子文件**自身不产出 stdout** ⇒ **执行了却不混入**\n     ⇒ 所以准确说法是「**被执行**必然、**混入**取决于影子是否写 stdout」，不是\"混入必然\"\n### 三★★ 我自己那句\"真危险形态\"也要标**不完整**\n  我原写: \"`2>/dev/null` 拿到别人的文本\" —— 成立，但它**只是三因子之一**\n  ⇒ ★ 完整的完全静默形态 = **混入（必然执行）** × **rc 由 catch 决定** × **stderr 被丢弃**\n  ⇒ 三者同时成立时: **输出被替换、退出码正常、连报错通道都被关掉** ⇒ 无任何可观测征兆\n  ⇒ 与 `recount-relay-counts.sh` 那条同族: **\"没报错\"不等于\"没出错\"**，判据必须独立于 rc\n### 四★ 采纳它的可判自检\n  报\"**条数**\"前先问「**这个量有几个来源**」，多来源必须**列出各自贡献**\n  ⇒ 与已记的 ⑫′（报数带查询）、④′（按机制分类）同族 ⇒ 并入本条\n"
+    },
+    {
+      "id": "retired-host-exempt-never-tested",
+      "count": 1,
+      "due": "有人决定把 zcode 真正部署回来时（豁免自动失效，无需手工改）",
+      "where": "deploy/check-deploy-drift.mjs 的 RETIRED_HOSTS（豁免本体）",
+      "kind": "scope",
+      "note": "2026-09-28 新登记。zcode 宿主已在本机删除，但插件与单元**故意留在仓库里**以便恢复；\ncheck-deploy-drift.mjs 的 HOSTS 是硬编码四家，于是两条判据永久红，且结论区建议的\n`redeploy-plugin.sh zcode` 是**错的动作**（会部署一个用户已决定不运行的宿主）。\n⇒ 加了显式豁免表 RETIRED_HOSTS，但**豁免只换表述、不压红**：\n  · checkHost 仍逐条列出「已退场」+ 理由，只是不计入 stale；\n  · checkLayout 的 note 里明写「已退场宿主、故意不装：<单元>」，不静默跳过。\n\n★★ 本条欠的是**真实踩过的坑**（两次，都是我自己写的检查自己漏）：\n  ① 第一版 isRetiredHost 只查 units[0]，实测「只装 zcode-mail-bridge.service、\n     不装快照」时**仍被判成已退场**，且那个新装上的单元在 note 里被写成\n     「故意不装」—— 自相矛盾且完全静默。⇒ 改为 units.every 逐个查。\n  ② 第二版用 existsSync 判软链存在，而 `current` 是**相对**软链：快照目录被删、\n     软链残留成**断链**时 existsSync 返回 false ⇒ 「装过又删剩」与「从没装过」\n     读数**完全同形**，实测断链场景仍被判「已退场」。⇒ 改用 lstatSync\n     （看得见软链本身，含断链）。\n  同族：与 python-probe-shadowing、baseline-residue 一致 ——「没检查到」≠「不存在」。\n\n已实测四态：A 全没装⇒豁免；B 有效软链⇒报漂移；C 断链⇒报漂移；D 只装一个单元⇒报漂移。\n欠的是：豁免逻辑本身**没有自检样本**进 `--self-check`（现靠人测，\n  而判据的纪律是「能自证就别靠人测」⇒ 应补：注入假 fs 让四态各跑一遍，\n  且必须有一格是**断链**样本（第一/二版都恰好漏在断链上）。"
     }
   ]
-}
+}