fix(m171): r2 —— 跨卷守卫不许静默跳过，崩溃现场不删唯一旧副本

按首轮复审 p2-1items 的三条就地修。

P2-1（唯一阻塞项）跨卷守卫在只有一块卷的机器上静默变 ok：探不到第二块卷时
是 `eprintln! + return`，libtest 默认捕获 stdout/stderr，于是默认输出只有
`... ok`，跳过的记录只有 `--nocapture` 才看得见（复审 M3 变异实测）。
按复审给的方案 (b) 把裁决收成一条常跑用例（本仓口径同
`options_shot/feed.rs::not_fed`：跳过必须是响的）：

  探到第二块卷            → 绿（真跨卷用例真跑）
  探不到 + ULL_XDEV_TEST_WAIVE=1 → 绿（显式、记录在案的降级，打印一行）
  探不到 + 没豁免         → 红（默认判红，失败正文给出三条出路）
  另有 ULL_XDEV_TEST_REQUIRE=1：声明「必须有」，与豁免同给时以它为准（不许自相矛盾）

裁决是纯函数 `xdev_guard(found, waiver, require)`：逐条用例走同一个入口
（`cross_volume_scene`），没人能靠 `return` 静静跳过；core 与 CLI e2e 两处政策一致
（源头在 `install_xdev_cases`，CLI 侧 `support::cross_volume_waived` 照抄并注明）。

CI 选择：**windows 作业显式声明豁免**（不挂 VHD）。理由：VHD 要多一步 diskpart、
要管盘符、易碎；豁免是一行 env、写在 ci.yml 里可见，且只在探测失败时被咨询——
将来 runner 真有第二块盘，真跨卷用例照样真跑。ubuntu 侧不豁免：`/tmp` 与
`/dev/shm` 是不同设备（本机 docker debian:bookworm-slim 实测设备号 119 / 158），
真跨卷守卫在 Linux 上应当是真跑的。ci.yml 不在本 mission 的改动范围，已用
TowerFinding 登记那一行补丁。

P3-1 `update_e2e_test.rs` 里 `install::prune_stale_backups` → `prune_stale_artifacts`。

P3-2 `prune_stale_artifacts(None, dest)` 会删掉崩溃现场唯一幸存的旧 exe：上一次装到
「dest → .ullold-*」之后被杀时，dest 空着、旧字节只剩备份那一份；下次成功安装时
`symlink_metadata(dest)` 失败 ⇒ keep=None ⇒ 连它一起删，用户失去手工恢复的可能
（修前不会删）。改成 keep=None 时**只清 `.ullnew-*`、一个 `.ullold-*` 都不动**，
模块文档补上这条例外与其来由。

验证（本机，CARGO_TARGET_DIR=C:/Temp/ull-target/wt-171）：
* `cargo test -p unlucky-core --lib update::tests` → 90 passed / 0 failed
* `cargo test -p unlucky-core` → 623 passed（+ 各集成目标全绿），exit 0
* `cargo clippy -p unlucky-core --all-targets` / `-p unlucky-cli --all-targets
  --features update-test-source` → exit 0
* `cargo test -p unlucky-cli --features update-test-source --test update_e2e_test
  --test update_e2e_tamper_test` → 3 + 4 passed，含 `installs_across_volumes_from_the_cli`
* fmt clean
变异实测（都验完再还原）：
  M3 让 probe 恒 None ⇒ 默认 `cargo test` 输出 2 failed（无须 --nocapture），
     正文「没有第二块可写卷，也没有显式豁免：跨卷守卫在这台机器上是空跑。」
  M3 + WAIVE=1 ⇒ 3 passed；M3 + REQUIRE=1 ⇒ 2 failed
  去掉 keep.is_some() 那一半 ⇒ `a_crashed_install_keeps_the_only_surviving_old_copy` 红

crates/cli/tests/support/mod.rs

@@ -59,6 +59,38 @@ impl Drop for TempDir {
 /// 指定异卷根目录的环境变量（本机找不到第二块卷时，用它显式指一块）。
 pub const XDEV_ROOT_ENV: &str = "ULL_XDEV_TEST_ROOT";
 
+/// 「我知道本机没有第二块卷」的显式豁免（值必须是 `1`）。
+///
+/// 与 `crates/core/src/update/tests/support.rs` 的同名常量是**同一条政策**（源头在
+/// `crates/core/src/update/tests/install_xdev_cases.rs::xdev_guard`，改一处要改两处）：
+/// 探不到第二块卷又不豁免 ⇒ 这条 e2e 必须红，不许静静 `return`（M171 r2 P2-1）。
+pub const XDEV_WAIVE_ENV: &str = "ULL_XDEV_TEST_WAIVE";
+
+/// 「本机/本作业必须有第二块卷」的显式声明（值必须是 `1`），优先于豁免。
+pub const XDEV_REQUIRE_ENV: &str = "ULL_XDEV_TEST_REQUIRE";
+
+/// 跨卷 e2e 探不到第二块卷时的裁决：**显式豁免**才允许跳过（打印一行记录），否则 panic。
+///
+/// `what` 只用来在输出里点名是哪条用例，裁决规则与 core 侧完全一致（见 [`XDEV_WAIVE_ENV`]）。
+pub fn cross_volume_waived(what: &str) {
+    let required = std::env::var(XDEV_REQUIRE_ENV).ok();
+    let waived = std::env::var(XDEV_WAIVE_ENV).ok();
+    let required = required.as_deref().map(str::trim) == Some("1");
+    let waived = waived.as_deref().map(str::trim) == Some("1");
+    assert!(
+        waived && !required,
+        "[xdev-guard] {what}：本机没有第二块可写卷，也没有显式豁免——跨卷 e2e 空跑了，\
+         所以判红。三种合规做法任选其一：\
+         ① ULL_XDEV_TEST_ROOT=<另一块卷上的可写目录>；② ULL_XDEV_TEST_WAIVE=1（值必须是 1）；\
+         ③ 认为本机本该有第二块卷就用 ULL_XDEV_TEST_REQUIRE=1 声明。\
+         政策与理由见 crates/core/src/update/tests/install_xdev_cases.rs 的模块文档。"
+    );
+    eprintln!(
+        "[xdev-guard] {what}：本机没有第二块可写卷，已显式豁免（{XDEV_WAIVE_ENV}=1），\
+         这条 e2e 跳过。"
+    );
+}
+
 /// 一块与会话临时目录**真的**不同卷的可写根目录（探出来的，不是按平台猜的）。
 ///
 /// 候选：`ULL_XDEV_TEST_ROOT` → Windows 各盘符的 `Temp`（没有就盘根）/ Unix 的 `TMPDIR`、