API 部署按参数渲染 worker systemd unit 后再安装

deploy 此前把发布产物里的三个 worker unit（bgfilter / worker@ / controller）
原文安装，unit 模板硬编码 /opt/genarrative/current 与默认 env 路径：自定义
--current-link/env 部署会覆盖 provision 渲染过的定制 unit，服务重启后指向
旧二进制并加载默认 env，可能静默发布错误版本。现安装前按部署参数执行与
provision render_*_service 同语义的替换（current 链接 + 共享 API env +
角色 env），并新增 --controller-env-file 补齐 controller 此前无法表达的
自定义 env 路径。默认参数下渲染输出与模板逐字节一致，生产现状零行为变化。
守卫测试改为断言安装后的 unit 含 fixture 自定义路径、不残留模板默认字面量。

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

docs/technical/【后端架构】BgFilter受限资源调度方案-2026-07-21.md

@@ -486,6 +486,7 @@ flat / complex 的每次 provider 失败审计都必须留在子 worker，保留
 - worker unit 先加载共享 API env、再加载 worker 专属 env；父子有效 `N` 与 `est` 完全一致（两者都在共享 API env），flat / complex 统一熔断参数只由子 worker 配置和执行，cooldown 默认 `120s`。
 - `external-generation-worker.env` 后加载时不得把内部 base URL、Token / Token 文件、connect timeout、`N`、`est`、OSS bucket 或 endpoint 覆盖为与共享 API env 不同的有效值；父侧必须把源对象写到子 worker 将要签名读取的同一 OSS 位置。外部生成 worker 可使用同 bucket 下权限等价或更小的独立 AK，不要求凭据文本相同。
 - 父进程 `GENARRATIVE_BGFILTER_WORKER_BASE_URL`、子 worker `HOST / PORT` 和部署 readiness URL 必须指向同一个 `127.0.0.1:<port>` endpoint；旧非空配置不能因为“无需补默认值”而绕过一致性检查。
+- deploy 安装的三个 worker systemd unit（bgfilter / worker@ / controller）必须先按 `--current-link` 与各 env 参数渲染再安装（与 provision 的 `render_*_service` 同语义），安装后的 unit 不得残留模板默认的 current 链接或 env 路径字面量；controller env 路径由 `--controller-env-file` 表达。默认参数下渲染输出与模板逐字节一致。
 - `genarrative-bgfilter-worker.service` 必须保持 `TimeoutStopSec=900`，覆盖 `callBudgetMs` 排空上界（约 `321s`）与停止收口余量；停止时排队请求立即类型化失败，不参与排空。
 - 发布目录切换前拒绝缺失、空、含内部空白、包含多个非空行、符号链接或权限错误的内部 Token 文件；允许文件末尾正常换行，父、子有效 Token 文件路径必须相同。
 - 生产运行期巡检同时检查 `genarrative-bgfilter-worker.service` 为 active 且 worker `readyz` 成功（默认 `127.0.0.1:8083`），不能只依赖 systemd 自动重启。provision / deploy 的发布验活 URL 必须从已验证的 env `HOST/PORT` 派生，不得硬编码默认端口；若运维自定义 `GENARRATIVE_BGFILTER_WORKER_PORT`，必须同步覆盖巡检的 `GENARRATIVE_HEALTH_PATROL_BGFILTER_BASE_URL`（巡检是独立进程，不读取 worker env，默认值不会自动跟随）。