fix(install): двухфазная установка, clean-host контракт и проверка поколения

Установщик мог повредить работающий сервер до того, как откажется его
трогать: install.sh переписывал /usr/local/lib/hy2xs, раскладывал
runtime-пакет и перезаписывал install-state.json, и только потом
запускал clean-host preflight. При ошибочном запуске поверх старой
установки rollback дополнительно делал stop и disable для работающих
hysteria-server и hy2xs-admin.

Установка разделена на две фазы с жёсткой границей:

  PHASE 0 - read only: права, checksums пакета, clean-host preflight
            из распакованного архива (новая команда preflight-install)
  PHASE 1 - mutation: раскладка оркестратора и сама установка

Граница держится не соглашением, а read-only guard: под ним writeText,
writeTextAtomic и мутирующие раннеры lib/process кидают ошибку.
Внутри install() preflight выполняется раньше первой записи состояния.

Остальное в этом же инварианте:

- clean-host контракт расширен с двух маркеров до четырнадцати, пути
  установки и данных берутся из конфигурации, а не захардкожены;
- отсутствие HY2XS_CONFIG_SCHEMA_VERSION трактуется как legacy, а не
  как текущая схема: до v1 этого поля не существовало. Тест,
  закреплявший прежнее поведение, инвертирован;
- install-state несёт идентификацию поколения (product, release_line,
  config_schema_version); reconfigure и repair проверяют её до всего
  остального, потому что installed: true мог остаться и от 0.x;
- repair требует явного --allow-partial-state;
- классификация отказа опирается на ownership-флаги, а не на текст
  ошибки: раньше сообщение со словом nftables приводило к откату
  чужого firewall. stop/disable выполняется только для юнитов,
  развёрнутых текущей операцией, а fatal_pre_apply не делает
  системного отката и не собирает diagnostics-бандл.

orchestrator/test/env.test.ts

@@ -93,9 +93,28 @@ describe("gecko packet sizes", () => {
 });
 
 describe("config schema version", () => {
-  test("отсутствие значения даёт текущую схему", () => {
-    const config = parseRuntimeEnv(envText({ HY2XS_CONFIG_SCHEMA_VERSION: null }));
-    expect(config.configSchemaVersion).toBe(HY2XS_CONFIG_SCHEMA_VERSION);
+  // Отсутствующий маркер — самый вероятный признак конфигурации 0.x: до v1
+  // этого поля не существовало. Любой fallback здесь молча принял бы legacy.
+  test("отсутствие значения трактуется как legacy и отклоняется", () => {
+    expect(() => parseRuntimeEnv(envText({ HY2XS_CONFIG_SCHEMA_VERSION: null }))).toThrow(
+      /HY2XS_CONFIG_SCHEMA_VERSION отсутствует/
+    );
+  });
+
+  test("отказ по отсутствующей схеме указывает на чистую установку", () => {
+    expect(() => parseRuntimeEnv(envText({ HY2XS_CONFIG_SCHEMA_VERSION: null }))).toThrow(
+      /legacy-cleanup/
+    );
+  });
+
+  test("пустое значение отклоняется так же, как отсутствующее", () => {
+    expect(() => parseRuntimeEnv(envText({ HY2XS_CONFIG_SCHEMA_VERSION: "" }))).toThrow(
+      /HY2XS_CONFIG_SCHEMA_VERSION отсутствует/
+    );
+  });
+
+  test("текущая схема принимается", () => {
+    expect(baselineConfig().configSchemaVersion).toBe(HY2XS_CONFIG_SCHEMA_VERSION);
   });
 
   test("схема v0/v1 отклоняется с указанием на чистую установку", () => {