fix(update): 编译版二进制的更新路径按安装形态分流

[deepcoldy]

问题

botmux update、Dashboard 手动更新、定时自动更新三处在编译版单文件二进制下全部失效。在真实发布的 v3.18.4 二进制上端到端复现（不是推理）：

$ ./botmux --version
3.18.4                                   ← 版本号是对的（baked 生效）
$ ./botmux update
❌ 无法安全识别当前安装方式（unknown），请使用原包管理器手动更新 botmux。

自 v3.18.x 起这个二进制是 npm 和 install.sh 两种装法的共同产物，所以这条基本覆盖了所有用户。

根因

三处都走 resolveGlobalInstallPlan(botmuxInstallRoot())，而它按「install root 的路径形态」判包管理器。编译版没有 package.json 落盘（模块图在虚拟 /$bunfs/），packageRoot() 一路向上走到 / 才停。实测（真编译探针 + 真发布二进制，两边逐字相同）：

{ "installRoot": "/", "detectedManager": "unknown", "planIsNull": true,
  "cliEntry": "/dist/cli.js", "cliEntryExists": false }

关键点：两种装法是同一个二进制

很容易以为「npm 用户走 npm 的更新、curl 用户走 curl 的更新」是两种产物之间的分流。不是——自 #1047 去掉 bin 字段后，npm i -g botmux 装的是平台子包里的编译版二进制，postinstall 写个 launcher exec 它；install.sh 下载的是同一个二进制。同样的字节，只是位置不同。

所以按模块图判形态必然失败（两边都是 /），按位置判才可行。process.execPath 正是那个还有区别的东西（实测，且是通过各自 launcher 调起来的真实形态）：

装法	process.execPath
npm	…/node_modules/botmux-linux-x64/botmux
curl	~/.botmux/bin/botmux（BOTMUX_INSTALL_DIR 可改）

改动

• 新增 core/binary-install-shape.ts（纯函数、零依赖）：判形态 + 给出更新策略。npm 子包形态翻译成同级主包根后交回已有的 resolveGlobalInstallPlan，而不是重推一遍 npm prefix——后者会变成同一套规则的第二份实现，且会把 pnpm/bun 全局装错误地逼上 npm（实测翻译后 bun 全局仍正确解析成 bun add -g）。拆成独立叶子模块是为了让 utils/global-install.ts 能引它而不成环（双向实测无环）。
• 新增 core/binary-self-update.ts：install.sh 形态自替换——下载资产 → 校验 SHA-256 → 原子 rename。musl 判据与 install.sh / postinstall 同序，且只在正向观测到时才认 musl。
• 抽出 core/release-download.ts：复用 hd2d 已有的「代理感知 + 重定向逐跳拆连接」下载逻辑，不再复制一份（规范化比对验证移动前后语义逐字相同，仅 UA 从模块常量变成参数）。
• 三处入口接上策略解析；新增 resolveAutoUpdateSupport() 作为唯一判据，供设置页 projection 与写入校验共用（否则前端画灰、后端放行）。

顺带修掉的同源缺陷

1. isLocalDevInstall() 编译态判的是「/ 有没有 .git/src」。本机恰好都没有所以侥幸正确，但 /src 存在的镜像里编译版会被误判成源码 checkout，转去跑 git pull --ff-only。
2. spawnDetachedRestart 拼 [cliEntry,'restart']，编译态 argv[2] 是路径不是 restart。实测打印 help 后 exit 0，即「以为重启了其实没重启」。
3. baked 版本遮蔽：botmuxVersionAt 对任何目录都让 baked 值优先，所以自替换后、以及包管理器装的编译版更新后，currentVersion() 都仍报旧版本 ⟹ after===before ⟹ tick 报「已是最新」且不重启；dashboard changed 恒 false；rollback 更会每次都报 installed_version_mismatch。新增 diskVersionAt()（显式忽略 baked）供所有 post-install 读取使用。
4. pnpm 版本化 store：更新后 process.execPath 仍指旧版本路径 ⟹ ENOENT 或由旧二进制拉起 supervisor。新增 resolveStandaloneRestartExecutable()，包管理器形态走稳定 launcher。
5. 回退能力单独下发：Web 原先用 updateSupported 推导 rollbackSupported，而 rollback 只会驱动包管理器 ⟹ curl 装的会看到必然失败的按钮。后端显式下发，且 rollback 端点也改为按策略解析根（否则 npm 编译版首次回退仍挂）。

影响面

动了 core/ 公共层 + dashboard + cli 三处热路径，但Node 形态全部逐字不变：strategy 在非 standalone 时直接返回原 installRoot；diskVersionAt 在无 baked 值时与 botmuxVersionAt 等价。受影响的只有编译版二进制这一形态，也就是当前 npm / install.sh 的默认产物。

验证

• tsc 0 错；bun run build 过（含 dashboard bundle）。全量单测 19058 passed / 8 failed，4 个红文件用干净基线 worktree（61c46f932）逐文件对照全部一致⟹均为既有。其中 plugin-mcp-sandbox 在基线上因缺 dist 被 skip、在我这儿因有 dist 才跑起来，给基线补跑 bun run build 后同样 2 failed | 1 passed，确认与本 PR 无关。
• 真实二进制 A/B：PRE（v3.18.4 发布版）update 报 unknown；POST 同样调用真的下载并替换成功，替换后二进制 --version 输出 3.18.4，目录内无残留临时文件。npm 形态实测走 npm install -g --prefix … botmux@latest 并真装进推导出的 prefix。__self-update 子命令（maintenance 侧驱动的那条）端到端通，且从 npm 拥有的树里跑会 fail-closed 拒绝、那个二进制字节数前后一致。
• 相关 11 个测试文件 203 条全绿；14 组反变异全红（restart argv / standalone 落回 installRoot / 去 node_modules 锚点 / 跳过校验和 / 去截断下限 / 失败不清理临时文件 / 临时文件挪 tmpdir / 默认认 musl / 去 installedVersion / diskVersionAt 退回 botmuxVersionAt / autoUpdateSupport 恒 true / 重启目标忽略 launcher / rollback 与 run 两处根各自改回 botmuxInstallRoot()）。
• 另实测钉住依赖的 OS 事实：运行中 ELF 就地写入 ETXTBSY、rename 覆盖成功且运行中进程存活——这正是必须用 rename 而非写入的原因（shell 脚本不是有效替身，它接受就地写入，测试注释里写明了）。

已知限制（如实记录，未声称覆盖）

BOTMUX_INSTALL_DIR 只在运行时仍导出该变量时才被识别，而 BOTMUX_INSTALL_DIR=… sh install.sh 不会持久化它 ⟹ 之后会 fail-closed 成 unknown（不破坏任何文件，但自更新不可用）。已补断言把这个限制钉住，避免文档/实现漂移成「已无条件支持 custom dir」。

🤖 Generated with Claude Code

[github-actions]

🚀 Released in v3.18.5