Продакшн рефактор без легаси

docs/02-build-layer-and-package.md

@@ -123,9 +123,10 @@ project/
 - целевая установка должна брать его с official upstream на момент развёртывания
 
 Дополнительно:
-- `HY2XS_HYSTERIA_VERSION=latest|vX.Y.Z` задаётся через runtime env;
-- при `latest` оркестратор записывает **фактически установленную** версию в `post-install.env`;
-- install flow использует download-to-temp + explicit execute + post-install verification binary/version.
+- версия Hysteria2 фиксируется в metadata install package (`metadata/hysteria.version`);
+- URL артефакта и SHA256 фиксируются в metadata install package (`metadata/hysteria.url`, `metadata/hysteria.sha256`);
+- runtime `reconfigure` не обновляет и не откатывает бинарник Hysteria2;
+- install flow валидирует SHA256 и фактическую версию установленного бинарника.
 
 ## Инварианты