feat(update): 页面一键更新 + 守护启动脚本

系统配置页新增「版本与更新」卡片，顶栏版本号旁在有新版时亮出提示胶囊。
更新链路：下载发布包 → 比对 SHA256SUMS → -h 冒烟测试 → 暂存 artex.new
→ 以退出码 75 退出 → 守护脚本重新拉起并完成换装，页面轮询 /api/health
等版本号变化后自动刷新。

新增 start.sh / start.bat 作为正式启动入口，只按退出码决定是否重新拉起
（0 停止 / 75 应用新版 / 其余崩溃退避）。校验、冒烟、换装、回滚全部收在
selfupdate 包里而不写进脚本：这些逻辑在 sh 和 bat 上要写两套，而它们恰恰
最不能出错——换上跑不起来的二进制后守护进程会反复拉起它，只能上机器手工救。
Docker 的 ENTRYPOINT 一并改为该脚本，并由它转发 SIGTERM，否则 docker stop
只发给 PID 1，artex 做不了优雅关闭会被 SIGKILL 硬杀。

失败保护两道闸门互补：无法 exec 由换装前的冒烟挡住，能执行但初始化崩溃
由启动计数兜住（连续 3 次失败自动回滚 artex.old，坏的留作 artex.failed）。

GitHub 查询结果后端缓存 30 分钟（失败 2 分钟）。未认证 API 是每 IP 每小时
60 次，且这 60 次是服务器 IP 上所有用户共用的，顶栏每次整页加载都查一次，
不缓存会很快耗光配额导致真想更新时反而查不动。手动「检查更新」带 force=1
绕过缓存。

安全：只认 GitHub 域名且强制 HTTPS（逐跳校验重定向），发布源写死不可配置；
升级文件挂在可执行文件所在目录而非 CWD（服务化运行时 CWD 可能是 /）；
开发构建版本号不可比较，禁用一键更新。

走完整 zip 而非裸二进制，因为现有 Release 的 SHA256SUMS 只覆盖 zip，
这样无需改 CI，也兼容已发布的历史版本。

已知限制：Docker 下只换程序不换镜像（工具链不同步、重建容器会退回镜像
版本）；不同步发布包里的 skills/；更新即重启会中断运行中的任务。

web/src/lib/api.ts

@@ -89,6 +89,7 @@ import type {
   TrafficEvidenceRole,
   TrafficHost,
   TrafficResp,
+  UpdateCheck,
   UsageStats,
   WorkspaceFile,
   WorkspaceListing,
@@ -619,11 +620,15 @@ export const api = {
   // 删除漏洞:移除 findings 记录 + 来源探索节点(从发现列表/任务发现 Tab/探索图一并消失)。
   deleteFinding: (id: string) => del<{ deleted: boolean; id: number }>(`/exploration/findings/${id}`),
   findingRetests: (id: string) =>
-    get<{ retests: FindingRetest[] }>(`/exploration/findings/${encodeURIComponent(id)}/retests`).then((r) => arr(r.retests)),
+    get<{ retests: FindingRetest[] }>(`/exploration/findings/${encodeURIComponent(id)}/retests`).then((r) =>
+      arr(r.retests),
+    ),
   activeFindingRetests: () =>
     get<{ retests: ActiveFindingRetest[] }>("/exploration/findings/retests/active").then((r) => arr(r.retests)),
   startFindingRetest: (id: string, notes: string) =>
-    post<{ retest: FindingRetest; created: boolean }>(`/exploration/findings/${encodeURIComponent(id)}/retests`, { notes }),
+    post<{ retest: FindingRetest; created: boolean }>(`/exploration/findings/${encodeURIComponent(id)}/retests`, {
+      notes,
+    }),
   deepenFinding: (id: string, description: string) =>
     post<FindingDeepenResponse>(`/exploration/findings/${id}/deepen`, { description }),
   intents: (task?: string) => get<TaskNode[]>(`/exploration/intents${tq(task)}`).then(arr),
@@ -1123,4 +1128,15 @@ export const api = {
   // per-agent 绑定 / 轮询 / 中断消耗都覆盖）。
   tokensByModel: (task: string) =>
     get<{ models: ModelTokenStat[] }>(`/llm/records/by-model?task=${encodeURIComponent(task)}`),
+
+  // ---- 一键更新 ----
+  // 检查以后端为准：下载是后端做的，浏览器能连 GitHub 而服务器连不上的情况很常见
+  // （服务器在内网、代理只配在浏览器上），那时点更新必然失败。
+  // 后端对 GitHub 的查询结果有 30 分钟缓存（未认证的 GitHub API 是 60 次/小时/IP，
+  // 顶栏每次整页加载都会查一次，不缓存会很快耗光配额）。force=true 强制回源，
+  // 留给用户显式点「检查更新」时用。
+  checkUpdate: (force = false) => get<UpdateCheck>(`/update/check${force ? "?force=1" : ""}`),
+  // 202 即返回，实际下载在后台跑，进度走 /api/update/stream。
+  applyUpdate: () => post<{ ok: boolean; target: string }>(`/update/apply`),
+  rollbackUpdate: () => post<{ ok: boolean }>(`/update/rollback`),
 };

web/src/lib/types.ts

@@ -1288,7 +1288,9 @@ export interface InterceptAudit {
   input_digest: string;
   user_message: string;
   user_truncated?: boolean;
-  context: { kind: string; tool?: string; tool_use_id?: string; text: string; is_error?: boolean; truncated?: boolean }[] | null;
+  context:
+    | { kind: string; tool?: string; tool_use_id?: string; text: string; is_error?: boolean; truncated?: boolean }[]
+    | null;
   context_truncated?: boolean;
   captured_at: string;
   model_fallback?: boolean;
@@ -1358,3 +1360,44 @@ export interface FindingTrafficDetail {
   request: EvidenceBodyPreview;
   response: EvidenceBodyPreview;
 }
+
+/** GET /api/update/check —— 当前版本与 GitHub 最新正式版的比较结果。 */
+export interface UpdateCheck {
+  /** 当前运行的版本；开发构建为 "dev" 或 git describe 的带后缀形式。 */
+  current: string;
+  /** 运行形态。docker 下换装只作用于容器可写层，重建容器会退回镜像版本。 */
+  mode: "docker" | "binary";
+  os: string;
+  arch: string;
+  repo: string;
+  /** 是否存在可回滚的上一版本（artex.old）。 */
+  has_backup: boolean;
+  /** 本次启动时自更新自举的结论（换装失败 / 已回滚等），无事发生时为空。 */
+  boot_notice?: string;
+  rolled_back?: boolean;
+  /** 查询 GitHub 失败时给出原因，此时下面的字段都不会有。 */
+  error?: string;
+  latest?: string;
+  notes?: string;
+  html_url?: string;
+  published_at?: string;
+  /** 当前平台对应的发布包名，以及该 Release 是否真的带了它。 */
+  asset?: string;
+  asset_available?: boolean;
+  size?: number;
+  has_update?: boolean;
+  /** 双方版本号是否可比较；开发构建为 false，此时禁用一键更新。 */
+  comparable?: boolean;
+  /** comparable 为 false 时的说明。 */
+  reason?: string;
+}
+
+/** /api/update/stream 推送的一条更新进度。 */
+export interface UpdateProgress {
+  phase: "idle" | "downloading" | "verifying" | "extracting" | "staged" | "failed";
+  /** 仅下载阶段有意义（0-100）；其余阶段为 -1。 */
+  percent: number;
+  message: string;
+  version?: string;
+  error?: string;
+}