probe: add native OpenWrt deployment and signed automatic updates [CI]

web/admin/src/pages/JoinTokenCreated.tsx

@@ -30,6 +30,14 @@ export function JoinTokenCreated({ created, kind, onClose }: { created: CreatedJ
     >
       <div className="stack">
         <div className="notice warn">一次性码只显示这一次，请现在就复制。下面只有公开的值（面板地址、一次性码、信任根指纹和属主），没有任何私钥。</div>
+        {kind === 'Probe' && script.openwrt && (
+          <Field
+            label="OpenWrt · 原生二进制（自动更新）"
+            hint="以 root 运行，支持 ARM64 和 x86_64，不需要 Docker/Podman。通过 curl 或 OpenWrt 自带的 uclient-fetch 下载，缺少依赖时自动用 opkg/apk 安装。动态 musl 正式包需 libopenssl3。自动注册属主并配置 procd；发布后自动验签、安装，失败回滚。默认限制 20 Mbps，可在 /etc/moshiro/probe.json 修改。"
+          >
+            <CommandTabs storageKey="moshiro.openwrt_tab" initial="openwrt" tabs={[{ id: 'openwrt', label: 'OpenWrt · procd', command: script.openwrt }]} />
+          </Field>
+        )}
         <Field
           label={`Podman（推荐，自动更新）：在要加入的机器上运行（${kind}）`}
           hint="Linux，Podman 4.6 及以上，用普通用户运行（rootless，不用 sudo）。命令把参数写进 ~/.config/moshiro/（权限 600），下载 Quadlet 单元并核对 SHA-256，一致才启动。退出登录后继续运行需要管理员执行一次 loginctl enable-linger 用户名。节点名字默认取主机名；想自己定，在 env 里加一行 MOSHIRO_NAME=名字（1–64 个字母、数字、点、下划线、横线）。"

web/shared/api/schema.ts

@@ -1161,6 +1161,39 @@ export interface paths {
         patch?: never;
         trace?: never;
     };
+    "/install/openwrt.sh": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        get: {
+            parameters: {
+                query?: never;
+                header?: never;
+                path?: never;
+                cookie?: never;
+            };
+            requestBody?: never;
+            responses: {
+                /** @description OK */
+                200: {
+                    headers: {
+                        [name: string]: unknown;
+                    };
+                    content?: never;
+                };
+            };
+        };
+        put?: never;
+        post?: never;
+        delete?: never;
+        options?: never;
+        head?: never;
+        patch?: never;
+        trace?: never;
+    };
     "/install": {
         parameters: {
             query?: never;
@@ -1671,6 +1704,8 @@ export interface components {
             linux: string;
             macos: string;
             windows: string;
+            /** @default  */
+            openwrt: string;
         };
         Ipv6DiagnosticDto: {
             address_configured: null | boolean;