docs: merge the Fleet docs into backend/fleet/README.md, add TODO.md, unify the Backend compose, fix stale references [CI SKIP]

docs/enrollment.md

@@ -1,6 +1,6 @@
 # MoShiro 的注册与身份
 
-通用的注册、身份、认证机制由 Fleet 提供，见 [fleet/link.md](fleet/link.md) 第 2～3 节。本文只描述 **MoShiro 在 Fleet 之上的约定**：Agent 注册后如何自动接入测量、Probe 的身份以及 Agent 列表同步，以及节点本地的硬上限。
+通用的注册、身份、认证机制由 Fleet 提供，见 [../backend/fleet/README.md](../backend/fleet/README.md) 的「身份」「注册」两节。本文只描述 **MoShiro 在 Fleet 之上的约定**：Agent 注册后如何自动接入测量、Probe 的身份以及 Agent 列表同步，以及节点本地的硬上限。
 
 ## 1. 身份一览
 
@@ -10,7 +10,7 @@
 | Probe | Fleet 节点身份（同时用于连面板和连 Agent） | 面板生成 `probe.json`（可以有多个 Probe，每个独立吊销） | 公钥 |
 | 面板用户 | 账号 + 密码（PBKDF2-SHA256） | 面板 | 密码哈希 |
 | API 令牌 | 随机高熵令牌，作用域为 `read` 或 `admin` | 面板 | SHA-256 |
-| 发布签名 | ECDSA P-256 发布密钥 | CI（Woodpecker 密钥 `release_signing_key`）或离线环境 | 只在节点宿主机的更新器里配置公钥（容器节点是 `moshiro-update`，见 [deployment.md](deployment.md)；纯二进制方案的 `fleet-updater` 还只是设计），**面板不保存私钥，也不验签** |
+| 发布签名 | ECDSA P-256 发布密钥 | CI（Woodpecker 密钥 `release_signing_key`）或离线环境 | 只在节点宿主机的更新器里配置公钥（容器节点是 `moshiro-update`，见 [deployment.md](deployment.md)；纯二进制节点的更新是待办），**面板不保存私钥，也不验签** |
 
 ## 2. Agent 接入流程
 
@@ -19,13 +19,13 @@
        <── 安装命令：
            curl -fsSL https://panel/install.sh | sh -s -- --join jt_xxx --name jp-1
 
-install.sh（只做安装，不包含任何远程控制功能；下面的更新器部分是纯二进制方案的设计，还没有实现，容器节点的做法见 deployment.md）
-  ├─ 下载 moshiro-agent、fleet-enroll、fleet-updater，并验证发布签名
-  ├─ 创建系统用户：moshiro（运行 Agent）、fleet-update（运行更新器）
+install.sh（只做安装，不包含任何远程控制功能；容器节点的做法见 deployment.md）
+  ├─ 下载 moshiro-agent、fleet-enroll，并校验 SHA-256
+  ├─ 创建系统用户 moshiro（运行 Agent）
   ├─ fleet-enroll --server https://panel --join jt_xxx --name jp-1 --identity-dir /etc/moshiro
   │     └─ 注册元数据（MoShiro 定义）：{ probe_tcp_port, probe_udp_ports, public_host?, kinds[] }
-  ├─ 写入 agent.json（本地硬上限）和 /etc/fleet/updater.json
-  └─ 启用 moshiro-agent.service 和 fleet-updater.service
+  ├─ 写入 agent.json（本地硬上限）
+  └─ 启用 moshiro-agent.service
 
 面板收到 OnEnrolled（MoShiro 挂钩）
   ├─ public_host 未提供时，取注册请求的来源 IP