fix(v23): 自重启在非管理员身份下的降级 + deploy 备份不再堆积

## ① system.agent.restart / deploy 重启：加权限降级（真机坐实）
原实现硬用 `New-ScheduledTaskPrincipal -RunLevel Highest`（前提是"agent 以管理员运行，
普通权限 taskkill 杀不掉它"）。但真机 2026-10-09 坐实：**agent 以普通用户运行时
（is_admin=False），非管理员注册 Highest 任务会被系统拒绝** → deploy/restart 一律报
"注册重启任务失败 exit=1"，只有文件更新成功、进程不重启（部署"部分成功"的假象）。

修：两级降级 —— 先试 Highest（管理员场景保持原语义），注册后校验；
失败则不指定 -Principal（默认继承当前权限级别 Limited），同权限下 taskkill 自己完全够用。
已在被控端用 schtasks /RL LIMITED 现场验证过该路径可行。

## ② deploy 备份改为固定名，并清理历史堆积
此前每次部署写 `${target}.bak-<时间戳>`，真机 D:\Nodeagent 下堆了 15+ 个（单文件 1MB）。
部署回滚只需要「上一个可用版本」→ 改为固定名 `${target}.bak`（覆盖式）。
并在上传后 best-effort 清理老格式 `.bak-*`（平台分流：Windows 用 PS，类 Unix 用 rm；
清理失败不影响部署结果，只提示）。

## 验证
单测 250 全绿；e2e 30 全绿；7 包构建通过。
⚠️ ① 在 agent 内，需部署新包才能真机验证；② 在本地 CLI，立即可见。

apps/agent/src/capabilities/system.ts

@@ -531,10 +531,15 @@ async function scheduleWindowsRestart(p: RestartParams): Promise<unknown> {
     `$a = New-ScheduledTaskAction -Execute 'cmd.exe' -Argument '${cmdLine.replace(/'/g, "''")}'`,
     // 不限时（默认 72h 后强制结束），保证 node 能长期运行
     `$s = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries -ExecutionTimeLimit (New-TimeSpan -Seconds 0)`,
-    // ⚠️ 必须用最高权限：agent 通常以管理员运行，普通权限的 taskkill 杀不掉它，
+    // ① 先试「最高权限」：agent 通常以管理员运行，普通权限的 taskkill 杀不掉它，
     //    否则会出现「新进程起来了但端口被占（EADDRINUSE）」。
     `$p = New-ScheduledTaskPrincipal -UserId $env:USERNAME -RunLevel Highest -LogonType Interactive`,
     `Register-ScheduledTask -TaskName '${TASK}' -Action $a -Settings $s -Principal $p -Force | Out-Null`,
+    // ② 降级：**非管理员身份下 Highest 会被系统拒绝**（真机 2026-10-09 坐实：
+    //    agent 以普通用户运行时，deploy/restart 一律报"注册重启任务失败 exit=1"）。
+    //    此时不指定 -Principal —— 默认继承当前用户权限级别（Limited），
+    //    注册能成功，且同权限下 taskkill 自己完全够用。
+    `if ((Get-ScheduledTask -TaskName '${TASK}' -ErrorAction SilentlyContinue) -eq $null) { Register-ScheduledTask -TaskName '${TASK}' -Action $a -Settings $s -Force | Out-Null }`,
     // 校验注册真的成功（SilentlyContinue 会吞错，必须显式确认）
     `if ((Get-ScheduledTask -TaskName '${TASK}' -ErrorAction SilentlyContinue) -eq $null) { Write-Output 'register-failed'; exit 1 }`,
     `Start-ScheduledTask -TaskName '${TASK}'`,