feat(update): add startup health rollback fuse

docs/packaging.md

@@ -182,6 +182,8 @@ T-617 增加独立 `cmshopee-updater.exe`。构建脚本用 `cmshopee-updater.sp
 
 T-618 已把安全暂存和独立更新器接回启动门禁。强制升级窗口使用QThread执行下载、hash、解压和manifest校验，主线程持续显示中文阶段、进度和字节数；协作式取消会等待线程清理，避免线程仍运行时销毁。确认独立更新器进程创建成功后旧主程序退出；强制响应后的任何准备失败都保持阻断，只能重试或退出。版本接口完全不可达/非法仍按T-544策略失败放行。
 
+T-619 增加启动健康确认与失败熔断。新版带事务参数启动，在 `.cmshopee-update/transactions/<事务>/health.json` 原子写 `process_started`、`main_window_ready` 或 `environment_blocked`。更新器在主窗口就绪前保留旧根项目；早期退出/超时会回滚并按版本+zip hash写 `failed-versions.json`，防止同一坏包无限循环。主窗口就绪后清理pending、zip、staging和本次成功备份；环境阻断保留新版与备份。备份清理只处理 `.cmshopee-update/backup/` 且保留最近两份，不扫描 `data/`。
+
 ## 四、绝不打包的本地数据
 
 发布包里不能包含以下本地数据、密钥、业务数据或登录态：
@@ -240,7 +242,7 @@ cmshopee\
 
 ## 六、用户后续更新方式
 
-第一版不做自动覆盖升级。给用户发新版本时，或 T-544 启动检查弹出“必须升级”时：
+尚未安装自动升级引导版本的旧用户仍按以下方式人工覆盖；安装T-619及之后版本后，强制升级窗口可自动下载、替换和重启：
 
 1. 让用户先关闭 cmshopee。
 2. 建议用户备份当前整个程序文件夹。