feat: node updates by restart, auto by default; Podman Quadlet install from the panel alongside compose [CI]

docs/security/enrollment.md

@@ -16,11 +16,11 @@
 
 ```text
 管理员 ── 创建加入令牌 {标签, max_uses, 过期时间, auto_approve, controllers} ──> 面板（Fleet.Server.Enrollment）
-       <── 一段 compose 安装命令（默认）：建目录、把面板地址、一次性码、创世指纹和属主写进本地 .env，下载面板提供的静态
-           compose.yaml 并核对 SHA-256，再 `compose up -d`；命令里只有公开的值（见 access.md 第 10 节）。
+       <── 一段 Quadlet 安装命令（默认，Podman 系；Docker 另有 compose 命令）：把面板地址、一次性码、创世指纹和属主写进本地 env，下载面板提供的静态
+           Quadlet 单元并核对 SHA-256，再启动用户服务；命令里只有公开的值（见 access.md 第 10 节）。
            备用：一行安装脚本（先核对脚本哈希再执行），参数走环境变量
 
-两条路径做的事一样：compose 的入口脚本，或 install.sh / install.ps1（packaging/install/，嵌入 Backend，静态文件，不替换任何值）：
+两条路径做的事一样：容器的入口脚本，或 install.sh / install.ps1（packaging/install/，嵌入 Backend，静态文件，不替换任何值）：
   ├─ 向面板取 CI 签名的发布清单，用脚本里内置的发布公钥验签，按清单里的 digest 拉镜像
   ├─ 用 Docker 或 Podman 起容器，身份和配置存在命名卷里；节点名字默认取主机名
   └─ 容器入口用代码注册：fleet-enroll --server … --join jt_… --genesis … --controllers …