feat: one-line install for agents and probes from one shared script (curl | bash, zsh, PowerShell) [CI]

docs/api.md

@@ -17,7 +17,7 @@
                   public_visible = false 的 Agent 对匿名访客隐藏
 /api/admin/*      管理。需要 Cookie 会话（含 CSRF 校验）或 admin 作用域的 API 令牌（`POST /api/admin/releases` 也接受只能登记发布清单的 release 令牌）
 /api/agent/v1/*   节点专用：注册（使用加入令牌）和 RPC（使用签名认证）
-/healthz  /metrics  /openapi/v1.json  /install.sh  /install.ps1
+/healthz  /metrics  /openapi/v1.json  /install  /install.ps1
 ```
 
 资源总览：
@@ -170,7 +170,7 @@
 | `GET /healthz` | 无 | SQLite 与原始数据目录都可写 |
 | `GET /metrics` | admin 令牌 | Prometheus 格式：在线数、块入库速率、分析队列长度、重算进度、磁盘占用、SSE 连接数 |
 | `GET /openapi/v1.json` | 无 | |
-| `GET /install.sh` `/install.ps1` | 无 | 安装脚本（只下载二进制并写入配置） |
+| `GET /install?code=…`（也接受 `/install.sh`）、`GET /install.ps1?code=…` | 无（凭一次性代码） | 一行安装脚本：Agent 和 Probe 共用同一份，角色、面板地址和镜像由代码决定，用 Docker 或 Podman 起容器；代码不能用就是 404 |
 
 ## 6. 错误码（节选，完整列表见共享的 `ErrorCode`）
 

docs/deployment.md

@@ -207,6 +207,21 @@ OpenWrt 默认不带 OpenSSL：`opkg install libopenssl3`（较新的快照和 2
 
 镜像和 Compose 配置共用。普通用户执行 Podman 即为 rootless，使用命名 volume 不需要 `keep-id` 或手动 `chown`。Agent 的配置、原有身份和缓存保存在 `moshiro-agent-config`，Probe 保存在 `moshiro-probe-config`，更新状态使用独立的 `moshiro-<role>-status` volume，在业务容器内只读。不会重新生成已有身份。更新/重建容器不删除 volume；不要使用 `compose down -v`，该参数会删除数据。
 
+**一行安装（Docker 或 Podman，Agent 和 Probe 共用）**：管理端「添加 Agent」「添加 Probe」生成加入令牌之后，给出一行命令，面板地址和一次性代码已经填好，没有要自己替换的占位符；节点名字默认取主机名：
+
+```sh
+curl -fsSL 'https://panel.example.com/install?code=jt_…' | bash      # Linux
+curl -fsSL 'https://panel.example.com/install?code=jt_…' | zsh       # macOS
+irm 'https://panel.example.com/install.ps1?code=jt_…' | iex          # Windows（PowerShell）
+```
+
+- 脚本是同一份（`packaging/install/install.sh` 和 `install.ps1`，作为嵌入资源打进 Backend），由 Backend 在 `/install` 和 `/install.ps1` 按代码填好角色、面板地址和镜像；Agent 还是 Probe 由代码决定。代码不存在、已吊销、已过期或用完了都是 404。
+- 脚本检测 Docker 或 Podman（连不上就自动用 sudo），拉镜像，起容器 `moshiro-<role>`：只读根文件系统、丢掉全部能力、Linux 上用宿主网络（Agent 对外暴露端口，也靠它识别本机公网地址），macOS 和 Windows 上 Agent 发布 7443、7444 端口；注册成功（日志出现 `link up`）才算装好。
+- 身份和配置在命名卷 `moshiro-<role>-config` 里（持久化）：镜像入口脚本（`packaging/container/entrypoint.sh`）第一次启动用 `MOSHIRO_SERVER`、`MOSHIRO_JOIN`、`MOSHIRO_NAME` 注册并写配置，之后重启、换新镜像重建容器都不需要再给参数。卷名和部署脚本一致，以后可以直接切到脚本方式。
+- 环境变量：`MOSHIRO_NAME=名字`（想自己定，或者提示名字被占用）、`MOSHIRO_ENGINE=docker|podman`、`MOSHIRO_DRY_RUN=1`（只打印 run 命令）。Podman 会顺便启用 `podman-restart`，容器开机自启。
+- 镜像地址由 Backend 的 `MoShiro__NodeImageRegistry`（默认 `registry.oeo.one`）和 `MoShiro__ImageNamespace`（默认 `moshiro`，开发镜像 `moshiro-dev`）拼出；私有仓库先 `docker login` 或 `podman login`。
+- 更新：拉新镜像、删掉旧容器、重新执行安装命令（卷保留）；要自动更新（签名清单）用下面的部署脚本。
+
 **用脚本部署和更新（rootful Podman 或 Docker，推荐）**：`packaging/container/deploy-node.sh` 可以重复运行，每次都会拉取镜像并固定到 digest、把配置迁移到当前版本需要的样子（例如旧的 `listen.bind` 为 `0.0.0.0` 的 Agent 改成 `::`，这样 IPv6 线路才能建立）、重装单元和更新器，然后重启节点；已有的身份不会动，更新策略沿用上次的。
 
 ```sh

docs/enrollment.md

@@ -16,10 +16,12 @@
 
 ```text
 管理员 ── 创建加入令牌 {标签, max_uses, 过期时间, auto_approve} ──> 面板（Fleet.Server.Enrollment）
-       <── 安装命令：
-           curl -fsSL https://panel/install.sh | sh -s -- --join jt_xxx --name jp-1
+       <── 一行安装命令（Agent 和 Probe 共用，没有占位符，节点名字默认取主机名）：
+           curl -fsSL 'https://panel/install?code=jt_xxx' | bash      （macOS 用 zsh）
+           irm 'https://panel/install.ps1?code=jt_xxx' | iex          （Windows）
 
-install.sh（只做安装，不包含任何远程控制功能；容器节点的做法见 deployment.md）
+面板按代码生成脚本（packaging/install/，嵌入 Backend）：用 Docker 或 Podman 起容器，镜像入口用代码注册，身份和配置在命名卷里。
+下面是发布包里的 install.sh（二进制安装，不包含任何远程控制功能；容器节点的做法见 deployment.md）：
   ├─ 下载 moshiro-agent、fleet-enroll，并校验 SHA-256
   ├─ 创建系统用户 moshiro（运行 Agent）
   ├─ fleet-enroll --server https://panel --join jt_xxx --name jp-1 --identity-dir /etc/moshiro
@@ -92,7 +94,7 @@ Probe 启动
 | GET/PATCH/DELETE | `/api/admin/probes`、`/probes/{id}` | Probe 的列表、改名、删除 |
 | POST | `/api/admin/probes/{id}/revoke` | 吊销（换密钥就是吊销之后重新注册，没有轮换） |
 | POST | `/api/admin/agents/{id}/probes/{probe_id}/disconnect` | 让 Agent 断开某个 Probe |
-| GET | `/install.sh`、`/install.ps1` | 安装脚本 |
+| GET | `/install?code=…`、`/install.ps1?code=…` | 一行安装脚本（凭一次性代码，Agent 和 Probe 共用） |
 
 
 ## Agent 的本地配置：主机状态上报