deploy: 标准目录部署 —— 运行时不再依赖源码目录

用户注意到：「当前 agentmail 是在源码目录部署的，应当改为标准目录部署」。
查证后有三处实证（都不是猜测）：

1. ★ **失败通知钩子执行的是仓库里的脚本**
   （`/home/program/agentmail/deploy/service-failure-notify.mjs`，8 处引用：
   4 个 drop-in + zcode/zcode-mail-bridge 单元 + agentmail-failure-flush）。
   仓库一挪/一改名，故障通知就**静默失效** —— 而那条管线正是用来报告服务故障的。
2. **opencode-serve 的 cwd 就是源码目录**（`WorkingDirectory=/home/program/agentmail`）。
3. ★ **仓库里的 `deploy/*.service` 是旧的源码目录版本**（ExecStart 指向
   `/home/program/agentmail/plugins/...`），而机器上的已被改过 —— 也就是说
   **谁跑一次 install.sh 就会把部署退回源码目录**。drop-in 更是只存在于 /etc 里，
   仓库完全没有它们。

## 改动

- **唯一真相**：`deploy/systemd/` 镜像 systemd 目录结构，收进全部单元与 drop-in
  （8 个单元 + 12 个 drop-in），路径全部改到 `/opt`。
- 运行时脚本装到 **`/opt/agentmail/bin/service-failure-notify.mjs`**（自包含，
  无相对导入）；`install.sh` 与 `redeploy-gateway.sh` 都会幂等地装它。
- opencode 的 cwd 改为 `/opt/agentmail`（与网关一致），已重启生效
  （`/proc/<pid>/cwd` 已核）。
- 删掉 `deploy/*.service` 的旧副本，避免两个真相。
- dsh 的 `cordis.patch.yml` 注释里的安装示例也改到标准位置（运行时用的是环境变量，
  那条注释是唯一残留）。

## 判据（`deploy/check-deploy-drift.mjs` 新增「标准目录部署」四条 + 自检）

① 任何 unit/drop-in 都不得引用源码目录；② 已安装单元与 `deploy/systemd/` 逐字节一致；
③ 通知脚本在标准位置且可执行；④ 各服务的 cwd/ExecStart 不在源码目录
（homeagent/dsh/zcode 是**别的产品**的标准位置，按白名单放行）。
自检两个样本：引用源码目录的必须红、干净样本必须绿（证明不是恒真）。

顺带修掉一处**真漂移**：仓库里 dsh 的 `dist/index.js` 落后于部署件（改了 src 没重建），
重建后 `check-deploy-drift` 报「四个宿主都在跑当前代码」。

## 复核

- `/etc/systemd/system/` 引用仓库：**0** 个文件；`/opt/agentmail` 下只剩旧二进制/备份里
  的构建路径（Go 嵌的源码路径，无害）与一条注释。
- 四个宿主都在跑当前代码；标准目录四项全绿。
- 全部服务 active，opencode/网关 cwd 均已在安装根下。

deploy/systemd/zcode-mail-bridge.service

@@ -0,0 +1,45 @@
+[Unit]
+Description=zcode mail-bridge (AgentMail ↔ ZCode headless CLI)
+Documentation=file:/opt/agentmail/plugins/zcode-mail-bridge/README.md
+After=network-online.target agentmail-gateway.service
+Wants=network-online.target
+
+[Service]
+Type=simple
+
+# 驱动自己不需要工作目录（每一轮 cwd 来自邮件寻址的 path 位），
+# 但 systemd 要求一个存在的目录，且相对路径（`../hooks/hooks.json` 的自检）
+# 以进程启动位置为准。
+# 生产跑**快照**，不跑仓库工作区：仓库会被我们随手编辑，而邮件驱动的服务
+# 重启后会直接跑起当前 HEAD —— 一次未完成的修改就变成线上行为。
+# 与 pi / opencode / dsh 同一条约定，切换靠 deploy/redeploy-plugin.sh 的原子软链。
+WorkingDirectory=/opt/agentmail/plugins/zcode-mail-bridge/current
+ExecStart=/usr/bin/node /opt/agentmail/plugins/zcode-mail-bridge/current/src/index.mjs
+
+# ZCode 靠 HOME 定位 ~/.zcode（OAuth 凭据、cli/config.json、会话库、日志）。
+# systemd 不会自动注入 HOME，不显式给就：
+#   - 读不到登录凭据 → 每一轮都报「Model config is missing」，全部回成失败信
+#   - 插件发现落到 /.zcode → 空目录，MCP 工具一个都没有
+Environment=HOME=/root
+
+EnvironmentFile=/etc/agentmail/zcode.env
+
+Restart=always
+RestartSec=10
+
+# 异常退出邮件上报：进程内的钩子捕获不了 SIGKILL/OOM，只能由 systemd 覆盖。
+# 正常 stop/restart 不上报（脚本内 isAbnormalExit 提前返回）。
+ExecStopPost=-/usr/bin/node /opt/agentmail/bin/service-failure-notify.mjs --report --service zcode-mail-bridge.service
+# 补发上次网关不可达时暂存的报告（per-agent spool）
+ExecStartPost=-/usr/bin/node /opt/agentmail/bin/service-failure-notify.mjs --flush --service zcode-mail-bridge.service
+
+# 一轮 ZCode 会派生一个 node 进程（模型 + 工具），内存占用比另三个桥高。
+# 给一个上限让它被 OOM killer 挑中而不是拖垮整机；Restart=always 会拉回来。
+MemoryMax=4G
+
+# 停机：驱动收到 SIGTERM 后会终止在途回合（否则会留下跑工具的孤儿），
+# 再关掉 SSE。默认 90 秒太长，15 秒够。
+TimeoutStopSec=15
+
+[Install]
+WantedBy=multi-user.target