fix(install): двухфазная установка, clean-host контракт и проверка поколения

Установщик мог повредить работающий сервер до того, как откажется его
трогать: install.sh переписывал /usr/local/lib/hy2xs, раскладывал
runtime-пакет и перезаписывал install-state.json, и только потом
запускал clean-host preflight. При ошибочном запуске поверх старой
установки rollback дополнительно делал stop и disable для работающих
hysteria-server и hy2xs-admin.

Установка разделена на две фазы с жёсткой границей:

  PHASE 0 - read only: права, checksums пакета, clean-host preflight
            из распакованного архива (новая команда preflight-install)
  PHASE 1 - mutation: раскладка оркестратора и сама установка

Граница держится не соглашением, а read-only guard: под ним writeText,
writeTextAtomic и мутирующие раннеры lib/process кидают ошибку.
Внутри install() preflight выполняется раньше первой записи состояния.

Остальное в этом же инварианте:

- clean-host контракт расширен с двух маркеров до четырнадцати, пути
  установки и данных берутся из конфигурации, а не захардкожены;
- отсутствие HY2XS_CONFIG_SCHEMA_VERSION трактуется как legacy, а не
  как текущая схема: до v1 этого поля не существовало. Тест,
  закреплявший прежнее поведение, инвертирован;
- install-state несёт идентификацию поколения (product, release_line,
  config_schema_version); reconfigure и repair проверяют её до всего
  остального, потому что installed: true мог остаться и от 0.x;
- repair требует явного --allow-partial-state;
- классификация отказа опирается на ownership-флаги, а не на текст
  ошибки: раньше сообщение со словом nftables приводило к откату
  чужого firewall. stop/disable выполняется только для юнитов,
  развёрнутых текущей операцией, а fatal_pre_apply не делает
  системного отката и не собирает diagnostics-бандл.

orchestrator/src/lib/process.ts

@@ -1,3 +1,4 @@
+import { assertMutationAllowed } from "./guard";
 import { info } from "./log";
 
 function shellQuote(value: unknown): string {
@@ -38,6 +39,7 @@ export async function run(command: TemplateStringsArray, ...args: unknown[]): Pr
 
 export async function runVisible(command: TemplateStringsArray, ...args: unknown[]): Promise<void> {
   const rendered = renderCommand(command, args);
+  assertMutationAllowed(`runVisible(${rendered})`);
   info(`running: ${rendered}`);
   const process = Bun.spawn(["sh", "-c", rendered], {
     stdout: "inherit",
@@ -50,6 +52,7 @@ export async function runVisible(command: TemplateStringsArray, ...args: unknown
 }
 
 export async function runRawVisible(command: string): Promise<void> {
+  assertMutationAllowed("runRawVisible(...)");
   info(`running script:\n${command}`);
   const process = Bun.spawn(["sh", "-eu", "-c", command], {
     stdout: "inherit",
@@ -63,6 +66,7 @@ export async function runRawVisible(command: string): Promise<void> {
 
 export async function runHidden(command: TemplateStringsArray, ...args: unknown[]): Promise<void> {
   const rendered = renderCommand(command, args);
+  assertMutationAllowed(`runHidden(${rendered})`);
   const process = Bun.spawn(["sh", "-c", rendered], {
     stdout: "inherit",
     stderr: "inherit"