fix(install): сделать границу «хост изменён» настоящим инвариантом

fatal_pre_apply мог означать «хост уже изменён». install-state.json пишется
сразу после успешного preflight, до установки пакетов, но классификация
отказа его не учитывала. Падение apt-get объявлялось как «на сервере ничего
не изменено»: откат и обработка состояния пропускались, а маркер оставался на
диске и ломал следующую установку по clean-host контракту.

Ownership-флаги переформулированы с «шаг успешно завершился» на «операция
могла начать менять систему» и взводятся перед мутирующим вызовом: apt-get
умеет изменить систему и упасть. fatal_pre_apply теперь недостижим ни при
одном взведённом флаге, включая stateWritten.

Read-only guard PHASE 0 можно было обойти. Guard стоял на writeText,
writeTextAtomic, runVisible, runHidden и runRawVisible, но не на универсальном
run, через который в коде проходили и наблюдение (ss, systemctl is-active), и
настоящие мутации (useradd, install -d, mkdir, cp -a, tar). Универсального
раннера больше нет: runReadOnly/runReadOnlySecret без guard'а и runMutating*
под guard'ом, выбор — явное решение на месте вызова.

clean-host не замечал часть того, что удаляет purge. /var/lib/hysteria с
ACME-состоянием Hysteria, /var/log/hy2xs, /usr/local/lib/hy2xs и
/usr/local/bin/hy2xs-orchestrator не были маркерами: сервер, где остался
только старый runtime-state Hysteria, проходил проверку и получал свежую
установку поверх чужого состояния. Пути, которые install.sh создаёт между
фазами, помечены как созданные установщиком, иначе PHASE 1 отказала бы на
собственном оркестраторе.

purge-v0.sh --keep-hysteria-binary противоречил установщику: скрипт сохранял
/usr/local/bin/hysteria и сообщал «хост чист для установки HY2XS v1», хотя
clean-host считает этот бинарник legacy-маркером. Флаг удалён.

DNS проверялся на существование A-записи, но не на то, куда она ведёт. После
принудительной смены IPv4 провайдером doctor отвечал успехом, хотя клиентская
ссылка отправляла людей на чужую машину. Проверялся при этом HY2XS_DOMAIN,
тогда как в hysteria2:// уезжает HY2XS_PUBLIC_HOST.

Добавлен инвариант публичного endpoint: A-записи обязаны принадлежать
множеству публичных IPv4, назначенных интерфейсам этого сервера. Проверка
живёт в общем preflight, поэтому действует в install, reconfigure и doctor.
Адрес определяется локально, без внешних сервисов определения IP. Строгость
управляется HY2XS_PUBLIC_ENDPOINT_POLICY (strict по умолчанию); отсутствие
A-записи фатально при любом значении.

TS-санитайзер приведён к той же формулировке, что и Go: URL-значение
определяется по самому значению, а не по имени ключа.

orchestrator/src/steps/filesystem.ts

@@ -1,9 +1,9 @@
 import type { InstallContext } from "../types/context";
-import { run } from "../lib/process";
+import { runMutating } from "../lib/process";
 
 async function userExists(user: string): Promise<boolean> {
   try {
-    await run`id -u ${user} >/dev/null 2>&1`;
+    await runMutating`id -u ${user} >/dev/null 2>&1`;
     return true;
   } catch {
     return false;
@@ -11,19 +11,19 @@ async function userExists(user: string): Promise<boolean> {
 }
 
 async function getUserField(user: string, field: number): Promise<string> {
-  return (await run`getent passwd ${user} | cut -d: -f${field}`).trim();
+  return (await runMutating`getent passwd ${user} | cut -d: -f${field}`).trim();
 }
 
 async function getPrimaryGroup(user: string): Promise<string> {
-  return (await run`id -gn ${user}`).trim();
+  return (await runMutating`id -gn ${user}`).trim();
 }
 
 async function ensureDir(path: string, mode: string, ownerGroup: string): Promise<void> {
-  await run`install -d -m ${mode} -o ${ownerGroup.split(":")[0]} -g ${ownerGroup.split(":")[1]} ${path}`;
+  await runMutating`install -d -m ${mode} -o ${ownerGroup.split(":")[0]} -g ${ownerGroup.split(":")[1]} ${path}`;
 }
 
 async function makeUser(user: string, expectedHome: string): Promise<void> {
-  await run`useradd --system --home ${expectedHome} --shell /usr/sbin/nologin ${user}`;
+  await runMutating`useradd --system --home ${expectedHome} --shell /usr/sbin/nologin ${user}`;
 }
 
 async function ensureRuntimeIdentity(user: string, expectedHome: string): Promise<void> {
@@ -58,5 +58,5 @@ export async function prepareFilesystem(context: InstallContext): Promise<void>
   await ensureDir(context.config.installDir, "0755", "root:root");
   await ensureDir("/usr/local/lib/hy2xs", "0755", "root:root");
   await ensureDir("/etc/nftables.d", "0755", "root:root");
-  await run`chmod -R go-w ${context.config.installDir}`;
+  await runMutating`chmod -R go-w ${context.config.installDir}`;
 }