fix(plugin): 拒收 env/args 的非字符串值 + 保留键收成内置 id 集合 + 启用落盘失败文案

r1 复审 P2-1 + 两条顺手件。

P2-1（必修）：`actionStringMap` / `actionStringList` 之前对非字符串值 `continue`，于是
前端 kv 控件里最自然的写法 `{"PORT":8080}` 会被**静默丢掉**、安装仍报 `installed:true`。
现在非字符串值、空键、非数组一律 400 invalid_config，文案只点名**键与类型**（不回显值）；
盘上零变更、注册表零工具、快照零行（测试同时断言）。

顺手件 1：`isReservedPanelKey` 从「只挡 mcp」改成内置提供者闭集（mcp / web-search /
browser，写成 switch，新增内置页时漏补一眼可见）。之前一台名为 web-search 的 server 被
卸载时，`forgetPanels → MarkUninstalled` 会把内置「搜索提供商」页在重启前整页摘掉。

顺手件 2：启用「已连上但启用态未落盘」的文案改成事实（原来那句「它仍处于停用状态」与
事实相反）。为此新增 `ErrPluginStatePersist` 哨兵，把「磁盘没记住」与「连不上」分开；
`state=connected` 的派生口径不动。停用失败文案同时补上「server 仍在运行」。

测试：三条新用例，均已验「修前红 → 修后绿」（见 review-request 的取证）。

internal/capability/plugin/enabled.go

@@ -25,6 +25,13 @@ import (
 // ErrPluginNotFound 报告指定的插件既没活着也不在 plugins.json 里。
 var ErrPluginNotFound = errors.New("plugin: not found")
 
+// ErrPluginStatePersist 报告「启用态没写成」：内存/连接态可能已经变了，但 plugins.json
+// 还是旧值 —— 因此**重启后会退回旧状态**。
+//
+// 它与「连不上」是两件相反的事，调用方必须能分开（文案说反就是骗人）：连不上 ⇒ server
+// 现在不可用；落盘失败 ⇒ server 可能正连着、工具可用，只是这个事实活不过一次重启。
+var ErrPluginStatePersist = errors.New("plugin: enabled state not persisted")
+
 // notFound 构造一条带名字的「找不到」。
 func notFound(name string) error {
 	if name == "" {
@@ -131,9 +138,11 @@ func (m *Manager) enable(ctx context.Context, name string) error {
 // persistEnabled 把启用态写回 plugins.json（upsert by name，其余字段原样保留）。
 //
 // 它**不**碰内存里的活 server：调用方按自己的顺序决定何时连线/断线。
+// 失败用 ErrPluginStatePersist 包起来：调用方要能把它与「连不上」区分开 —— 这两个失败
+// 的事实相反（一个没连上、一个可能已经连上而磁盘没记住）。
 func (m *Manager) persistEnabled(cfg runtimeconfig.PluginConfig, on bool) error {
 	if err := m.persistUpsert(cfg.WithEnabled(on)); err != nil {
-		return fmt.Errorf("插件 %q 的启用态未落盘: %w", cfg.Name, err)
+		return fmt.Errorf("%w: 插件 %q 的启用态未落盘: %w", ErrPluginStatePersist, cfg.Name, err)
 	}
 	return nil
 }