fix(core,app-iced): M308 Linux/macOS 的 .tar.gz 真的能自替换 + 重试按 retryable 分流 + 三处文档纠偏

M307 盘查抓到的一条真缺陷 + 两处交互/文档不一致，本条只修它们，不重做通道：

① Linux/macOS 自更新的真缺陷（选 A：真做）
   `job::self_replaceable` 只认裸 exe，而发布矩阵里那两平台的启动器是 `.tar.gz`（清单记作
   `portable-zip`）⇒ 查得到更新、按钮画得出来、点下去必失败。新增 `core::update::unpack`：
   **归档字节过完长度/摘要双检之后**，从归档里取出启动器本体（tar 头 mode 有可执行位 /
   `.exe` 名字的唯一普通文件），再交给原有的 `install_staged`（原子替换 + 回滚一字未改）。
   零新依赖（flate2/tar 早就是 core 的依赖，`core::game::java` 解 Temurin 用同一套）。
   三条具名错误：`LauncherMissing` / `LauncherNotExecutable`（魔数与 target 不符）/
   `LauncherSizeMismatch`（0 字节 / 超上限 / 与头声明不符）；zip 容器**明确拒绝**（没有可靠的
   「哪个条目可执行」判据，不猜）。`target.rs` 的 `PackageFormat` 文档改成与判据逐字一致。

② 重试按钮按 `retryable` 分流
   验签类（`is_retryable == false`）不画「重试」，正文换成新 key `UpdateBannerFailedFinal`
   （「这次更新已被拒绝（重试没用）：{reason}」）。文案抽到 `pages/update/failure.rs`
   （`pages/update.rs` 的红线），判据落在**真 Widget 树**上（探针 tag + 递归计数）。

③ 三处文档纠偏 + 同一条谎话的其它落点（都在 scope 内）
   `trust.rs`（正式表已有 `ull-release`，commit 68362e5）、`check_signing_ready.py` 自述、
   `target.rs`；顺带 `packaging/README.md`、`docs/{signing,signing-runbook}.md`、
   `check_test_key_off.py`；新文档 `docs/update-trust-anchor.md` 记「M254 审计的『正式表为空』
   已作废」。

判据：core 新增 `unpack_cases`（Linux tar.gz / macOS tar.gz 走完整条链 + 五种拒绝）、
`job_cases` 的形态表改成两种；app-iced 两条真 Widget 树用例（按钮在 / 不在）+ 一条取词入口用例
+ 一条源码守卫。i18n 加一条 key 并**重出金表**（`Key::ALL` 853 行，新行落在 index 834）。

crates/core/src/update/error.rs

@@ -48,6 +48,16 @@ pub enum UpdateErrorKind {
     SignatureUnknownKey,
     /// 签名对不上清单字节（清单被改过，或签名是给另一份清单的）。
     SignatureInvalid,
+    /// 归档形态的产物里没有**唯一**的启动器本体（0 个候选，或不止一个）。
+    ///
+    /// 发布侧问题（打包脚本漏了可执行位、或一个归档里塞了两个启动器）：换源、重试都不变好。
+    LauncherMissing,
+    /// 归档里取出的本体不是 `target` 那个平台的可执行文件（魔数对不上）。
+    ///
+    /// 也是发布侧问题：`win-x64` 挂了个 ELF、或 `linux-x64` 挂了个 PE，都是清单写错。
+    LauncherNotExecutable,
+    /// 归档里取出的本体大小不合规：0 字节、超过上限、或与归档头声明的不符。
+    LauncherSizeMismatch,
 }
 
 impl UpdateErrorKind {
@@ -69,6 +79,9 @@ impl UpdateErrorKind {
             Self::KeyringEmpty => "keyring_empty",
             Self::SignatureUnknownKey => "signature_unknown_key",
             Self::SignatureInvalid => "signature_invalid",
+            Self::LauncherMissing => "launcher_missing",
+            Self::LauncherNotExecutable => "launcher_not_executable",
+            Self::LauncherSizeMismatch => "launcher_size_mismatch",
         }
     }
 
@@ -79,6 +92,9 @@ impl UpdateErrorKind {
     ///
     /// 签名五兄弟**一律不可重试**：签名不对不是抖动，重试一千次还是不对。把它们标成可重试
     /// 会让壳层反复弹「网络问题，稍后重试」，掩盖真正的原因（发布侧漏签 / 钥没钉 / 清单被改）。
+    ///
+    /// 归档三兄弟（`LauncherMissing` / `LauncherNotExecutable` / `LauncherSizeMismatch`）同理：
+    /// 它们说的是「发布侧打错了包」，重下一次拿到的还是同一个坏归档。
     #[must_use]
     pub const fn is_retryable(self) -> bool {
         matches!(