feat(search): provider 热重载 + primary/fallback（W3）

- 保存被包成事务：快照 → 落盘 → 按新配置重建工具 → 原子替换注册表条目（registry.ReplaceTool
  窄方法，保留运行期 Policy）；下一轮即生效，不要求重启
- 若新配置会让后端下次起不来（主家未配齐 fail-fast）⇒ 文件按字节回滚 + 409 config_unstartable
- 声明面补 primary + fallback[]（可配可生效）；否决「另开 form」方案（会破坏既有 reauth 回填）
- 主 provider 解析口径核查结论：没被 PLG-4 改坏（顺手修了一处日志缺陷）
- 4 个变异自检（丢 Policy/不换条目/回滚 no-op/忽略 fallback）

plugins/tools/io/search/panel.go

@@ -48,6 +48,19 @@ func ActionNames() []string {
 	return []string{ActionListProviders, ActionSaveProvider, ActionTestProvider, ActionReauthProvider}
 }
 
+// 表单里两个**文件级**字段的 key（切片 W3；裁决 2026-10-06 #2）。
+//
+// 与其余字段的区别：`provider` / `apiKey` / `baseUrl` / `enabled` 描述**一条 provider 条目**，
+// 而这两个描述**整份配置的选择** —— design/27 §3 的「主后端 + 降级链」（可变源里的文件级
+// `provider` / `fallback`）。它们必须与组合根动作面读的 key 逐字一致（那里引用这两个常量，
+// 不另写字面量）：声明里写一个 key、处理器读另一个，表现就是「我选了主提供商但它没变」。
+const (
+	// FieldPrimary 是主 provider 的字段 key。
+	FieldPrimary = "primary"
+	// FieldFallback 是降级链的字段 key（多选，按顺序依次尝试）。
+	FieldFallback = "fallback"
+)
+
 // AdminPanels 返回本插件声明的管理页面（design/09 §5.2 示例的 providers 页）。
 //
 // 两处相对示例的**明确增补**（示例是形状示范，不是字段清单的穷举；两处都被本片的任务书
@@ -55,12 +68,20 @@ func ActionNames() []string {
 //   - 表单多一个 `enabled` 开关：任务书要求每家 provider **独立启用态**；
 //   - 表单的 `baseUrl` 用示例的 `endpoint` 语义（searxng 的端点 = 那家的基地址），
 //     名字跟可变源的字段名走，免得面板字段名与文件字段名对不上。
+//
+// 第三处增补（切片 W3；裁决 2026-10-06 #2）：表单末尾两个**文件级**字段
+// `primary` / `fallback`（主 provider 与降级链）。它们跟同一条 form 走 submit 而不是另开
+// 一个 form 区块，是因为前端的「带回表单」（reauth）只在面板**恰好一个** form 时转交：
+// 加第二个 form 会让既有的「重配凭据」整条回填失灵（那是客户端行为，本片不改前端）。
+// 两个字段的写侧语义见 `cmd/cyrene/websearch_selection.go`。
 func AdminPanels() []sdk.Panel {
 	return []sdk.Panel{{
 		ID:    PanelIDProviders,
 		Title: "搜索提供商",
 		Description: "为 web-search 能力配置多个第三方搜索后端：每条独立凭据与基地址，" +
-			"可单独启停并测试连通。改动落 $DATA_DIR/config/plugins/web-search.json，重启后仍然生效。",
+			"可单独启停并测试连通，并指定先用哪家、失败后按什么顺序降级。" +
+			"改动落 $DATA_DIR/config/plugins/web-search.json，**保存后立即生效**" +
+			"（下一轮对话即用新配置，无需重启）。",
 		Group: sdk.GroupPlugins,
 		Order: 20,
 		Icon:  "search",
@@ -83,6 +104,15 @@ func AdminPanels() []sdk.Panel {
 					{Key: "baseUrl", Label: "接口地址", Type: sdk.FieldText,
 						Placeholder: "https://..."},
 					{Key: "enabled", Label: "启用", Type: sdk.FieldSwitch},
+					// 下面两项是**文件级**的（不是上面这条 provider 的字段）：谁先用、
+					// 失败后按什么顺序降级。留空 = 不改动；primary 写成 off / none = 关掉
+					// 整把 web-search（模型看不见它）。
+					{Key: FieldPrimary, Label: "主提供商", Type: sdk.FieldSelect,
+						OptionsFrom: "plugin:providers",
+						Placeholder: "留空 = 不改动；写 off / none = 关掉 web-search"},
+					{Key: FieldFallback, Label: "降级链", Type: sdk.FieldMultiSelect,
+						OptionsFrom: "plugin:providers",
+						Placeholder: "按顺序依次尝试（逗号分隔）；留空 = 不改动"},
 				},
 				Submit: &sdk.Submit{Action: ActionSaveProvider},
 			},