diff --git a/deploy/install.sh b/deploy/install.sh
index 040c1d5..15a2a03 100755
--- a/deploy/install.sh
+++ b/deploy/install.sh
@@ -8,8 +8,24 @@
 # 因为里面有管理员密码与 Agent secret，重装不该把它们冲掉。
 set -euo pipefail
 
+# ⚠️⚠️ **PATH 归一化必须排在文件最前**（pi 2026-09-25 实测报回）：
+#   规则与 `lib/env-defaults.sh` 的 ④ 逐字相同（那里注明"**必须排在最前**"，此处提前到 `dirname` 之前）。
+#   为什么非在这里不可：下面这行 `REPO=…dirname…` 是**本文件第一条外部命令**，
+#   PATH 缺 `/usr/bin` 时它先失败 ⇒ `REPO` 退化成 `/` ⇒ 后面即使找到 git 也会
+#   `fatal: not in a git directory`（退出码 **128**，不在本仓"环境问题=2+人话"的词汇表里）。
+#   幂等：已含 `/usr/bin` 时一个字节都不改。
+case ":${PATH:-}:" in
+  *:/usr/bin:*) : ;;
+  *) PATH="${PATH:+$PATH:}/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"; export PATH ;;
+esac
+
 REPO="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
 
+# 用法块 = 文件头注释。**锚定在 `set -euo pipefail` 上，不数行号** ——
+# 原来写 `sed -n '2,20p'`，任何人往文件头插几行都会让 `--help` 开始印**实现代码**
+# （本文件 2026-09-25 插 PATH 归一化时就会多印 5 行 `case … esac`）。锚定后插多少行都不漏。
+usage() { sed -n '2,/^set -euo pipefail/p' "$0" | sed '$d'; }
+
 # ══════════════════════════════════════════════════════════════════════════════
 #   ./deploy/install.sh --check      # 干跑：只跑所有门禁与前置检查，**不写系统目录**
 #
@@ -34,7 +50,7 @@ for a in "$@"; do
     --allow-dirty) ALLOW_DIRTY=1 ;;
     --allow-stale) ALLOW_STALE=1 ;;
     --git-hooks) GIT_HOOKS=1 ;;
-    -h|--help) sed -n '2,20p' "$0"; exit 0 ;;
+    -h|--help) usage; exit 0 ;;
     *) echo "未知参数：$a（支持 --check / --allow-dirty / --allow-stale / --git-hooks）" >&2; exit 2 ;;
   esac
 done
@@ -81,15 +97,9 @@ if [[ $GIT_HOOKS -eq 1 ]]; then
   #    （这是我把本块前移时实测撞出来的：127 不在本仓的退出码词汇表里。）
   #
   # ⚠️⚠️ 但只补 ① 不够 —— 前移同时**丢掉了第二条**保证（pi 2026-09-25 实测报回：活回归）：
-  #    **env-defaults ④ 的 PATH 归一化**（PATH 可能不含 /usr/bin）。
-  #    只补 ① 会得到**假红**：git 明明装在 /usr/bin，却因 PATH 里没有它而报"找不到 git"，
-  #    且**真的没装上**（旧位置 rc=0 装上 / 前移后 rc=2 未装）。
-  #    ★ 这一条比 ① 更隐蔽：① 缺了是**漏**（少一条检查）② 缺了是**误**（凭空假红）。
-  #    规则与 env-defaults.sh:124-130 的 ④ 逐字相同（且同样幂等）。
-  case ":${PATH:-}:" in
-    *:/usr/bin:*) : ;;
-    *) PATH="${PATH:+$PATH:}/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"; export PATH ;;
-  esac
+  #    **env-defaults ④ 的 PATH 归一化**。本条现已在**文件最前**统一补回（见该处注释），
+  #    故这里不再重复。★ 两条的失败方向相反：① 缺了是**漏**（少一条检查），
+  #    ② 缺了是**误**（git 装在 /usr/bin 却报"找不到 git"，凭空假红）。
   if ! command -v git >/dev/null 2>&1; then
     echo "  [FAIL] 环境不足：找不到 git（--git-hooks 只用 git，但它不在 PATH 里）" >&2
     echo "         药方：装 git，或把它的目录加进 PATH 后重跑。" >&2