fix(installer): 收敛跨平台更新与后台启动

[uvwt]

变更说明

• macOS 检查更新先确认再进入更新事务，并收敛旧版更新结果恢复、状态展示与后台服务恢复边界。
• 将 Tunnel 启动调整为安装/更新后的 soft dependency，避免公网地址等待阻塞 Core 安装、更新和回滚完成。
• Windows Setup 使用 GUI 子系统隐藏运行宿主承接后台进程与计划任务 Core，避免安装过程中弹出命令行窗口。
• 修正 Windows x64 COM VARIANT ABI，并保留已验证 payload Core / stable shim 的事务启动语义。
• 补齐 Windows/macOS 对应回归测试与 CI 验证入口。

验证

• Mini：go test ./... 通过；Windows amd64 目标交叉编译通过。
• Tianyi：Windows 原生 go test ./... 通过。
• Tianyi：PowerShell 5.1 installer validation 通过；AgentDock/shim/GUI shim 编译通过；Control Panel Release 编译 0 warning / 0 error。
• Tianyi 当前交互用户下 runtime-launch diagnostic 通过，确认后台子进程无 console window，临时 Task/目录无残留。
• Mini：macOS i18n、Swift、AgentDock.app、ZIP、DMG、codesign、hdiutil 与 Arbiter 全套门禁通过。
• git diff --check 通过。

本 PR 不包含机器或版本特判，也未执行实际 updater/update check。