feat(chv-guest): M4 Chromium 单独钉死 + /app 收紧为最小集

- Chromium 钉死：CHROMIUM_HEADLESS_SHELL_REV（纯数字修订号）
  设即钉死，buildinfo.py 校验读回的 ms-playwright 缓存目录名
  须恰好是该修订号，否则构建失败；generate/check 的 --verify
  也复核；未设时只记录、构建输出明说未钉死，BUILDINFO 记 null
- /app 最小集：build.sh 不再把整个 $REPO_DIR/cloud/ 拷进客机，
  只拷 host.py（只用标准库，不依赖 cloud/）；REPO_DIR 预检
  不再要求 cloud/ 存在
- generate_lockfile.py 只读 BUILDINFO.versions 一事已在 to10 轨
  改写，本棒以合成 BUILDINFO 干跑复核（假版本 9.9.9 进 lockfile，
  宿主 git 1:2.43.0 未混入）并补钉死复核；真实 lockfile 产出
  仍待 V-9 真机构建，不编造版本号

chv-guest/build.sh

@@ -7,7 +7,10 @@
 # ubuntu-24.04-minimal-cloudimg-amd64.img——minimal 发布在 noble
 # 代号目录下，不是 releases/24.04）。只装 codex 0.164.0-alpha.9
 # linux-x64 + Python + SSH + cloud-init + 一个薄客机 agent
-# （/app/host.py + /app/cloud）。浏览器：Playwright +
+# （/app/host.py，仅此一个文件——host.py 只用标准库，不依赖
+# cloud/；旧版把整个 $REPO_DIR/cloud/ 拷进 /app/，客内 agent
+# 可读全套 server/worker 代码，M4 收尾已收紧为最小集）。
+# 浏览器：Playwright +
 # chromium-headless-shell（不要完整 Chromium）；字体只要最小的
 # fonts-wqy-microhei（中文能看），不要全套 fonts-noto-cjk。
 # 目标：qcow2 实际占用 ≤1GB，raw ≤2GB（见下注）。
@@ -84,6 +87,18 @@ REPO_DIR="${REPO_DIR:-$(cd "$SCRIPT_DIR/.." && pwd)}"
 # 验 SHA256；此处再验脚本自身的 SHA256（2026-11-06 实测值，
 # 上游轮换脚本后构建会明确失败，不静默跑新脚本）。
 GT_VERSION="${GT_VERSION:-1.0.0}"
+# feat-chv-closeup（M4）：Chromium 单独钉死。PLAYWRIGHT=1 时
+# ms-playwright 缓存目录名即 Chromium 版本标识（如
+# chromium_headless_shell-1248），此前只记录不钉死——playwright
+# 一升级，目录名跟着变，构建静默换浏览器版本。
+# CHROMIUM_HEADLESS_SHELL_REV 设为纯数字修订号（如 1248）即钉死：
+# buildinfo.py 校验读回的目录名须恰好是该修订号，否则构建失败。
+# 未设时只记录、不强制，并在构建输出里明说“未钉死”，绝不假装
+# 已钉死；真机 V-9 验收须用已设该变量的构建。
+CHROMIUM_HEADLESS_SHELL_REV="${CHROMIUM_HEADLESS_SHELL_REV:-}"
+if [ -n "$CHROMIUM_HEADLESS_SHELL_REV" ] && ! printf '%s' "$CHROMIUM_HEADLESS_SHELL_REV" | grep -Eq '^[0-9]+$'; then
+  echo "CHROMIUM_HEADLESS_SHELL_REV 须为纯数字修订号（如 1248）：$CHROMIUM_HEADLESS_SHELL_REV" >&2; exit 1
+fi
 GT_INSTALL_SH_SHA256="${GT_INSTALL_SH_SHA256:-cf82acecc0e3ffa6f690d33902eefcf1cc21a5b11004103bf23c4436664288d5}"
 # B-03/B-04：输入格式校验（干跑与全量都做，报错点提前，
 # 不等到 curl 404 或 sha256sum -c 才失败）。
@@ -143,8 +158,8 @@ if [ ! -d "$CODEX_BIN_DIR/codex-resources" ]; then
   echo "缺少 codex-resources（bwrap 载体），构建失败" >&2
   exit 1
 fi
-if [ ! -f "$REPO_DIR/host.py" ] || [ ! -d "$REPO_DIR/cloud" ]; then
-  echo "REPO_DIR 不是 codex-app-server 仓库根（缺 host.py/cloud/）：$REPO_DIR" >&2
+if [ ! -f "$REPO_DIR/host.py" ]; then
+  echo "REPO_DIR 不是 codex-app-server 仓库根（缺 host.py）：$REPO_DIR" >&2
   exit 1
 fi
 if [ ! -f "$SCRIPT_DIR/chv-sync.sh" ]; then
@@ -241,7 +256,6 @@ VC_ARGS=(-a "$OUT/disk.raw"
   --run-command 'chmod +x /usr/local/bin/codex /usr/local/bin/codex-code-mode-host; ln -sf /usr/local/bin/codex-resources/bwrap /usr/local/bin/bwrap'
   --mkdir /app
   --copy-in "$REPO_DIR/host.py:/app/"
-  --copy-in "$REPO_DIR/cloud:/app/"
   --copy-in "$SCRIPT_DIR/chv-sync.sh:/usr/local/bin/"
   --run-command 'mv /usr/local/bin/chv-sync.sh /usr/local/bin/chv-sync && chmod +x /usr/local/bin/chv-sync'
   --run-command 'printf "runcmd:\n - systemctl restart ssh || service ssh restart || true\n - /usr/local/bin/chv-sync boot >>/var/log/chv-sync.log 2>&1 || true\n" > /etc/cloud/cloud.cfg.d/99-chv-sync.cfg'
@@ -302,11 +316,14 @@ fi
 # 产物校验（干跑只打印，不执行校验命令的副作用部分）。
 if [ "$DRY_RUN" = "1" ]; then
   echo "DRY-RUN: test -s $OUT/vmlinux && test -s $OUT/disk.raw"
-  echo "DRY-RUN: python3 $SCRIPT_DIR/buildinfo.py $OUT $TAG $UBUNTU_VERSION $CODEX_VERSION $REPO_COMMIT <sha256> ${PLAYWRIGHT:-1} # 生成 $OUT/BUILDINFO.json 并校验 tag=$TAG"
+  echo "DRY-RUN: python3 $SCRIPT_DIR/buildinfo.py $OUT $TAG $UBUNTU_VERSION $CODEX_VERSION $REPO_COMMIT <sha256> ${PLAYWRIGHT:-1} ${CHROMIUM_HEADLESS_SHELL_REV:-} # 生成 $OUT/BUILDINFO.json 并校验 tag=$TAG"
 else
   test -s "$OUT/vmlinux" || { echo "内核产物为空：$OUT/vmlinux" >&2; exit 1; }
   test -s "$OUT/disk.raw" || { echo "磁盘产物为空：$OUT/disk.raw" >&2; exit 1; }
-  python3 "$SCRIPT_DIR/buildinfo.py" "$OUT" "$TAG" "$UBUNTU_VERSION" "$CODEX_VERSION" "$REPO_COMMIT" "$UBUNTU_IMAGE_SHA256" "${PLAYWRIGHT:-1}"
+  if [ "${PLAYWRIGHT:-1}" = "1" ] && [ -z "$CHROMIUM_HEADLESS_SHELL_REV" ]; then
+    echo "警告：CHROMIUM_HEADLESS_SHELL_REV 未设，Chromium 版本只记录、不钉死（V-9 验收须设该变量重建）" >&2
+  fi
+  python3 "$SCRIPT_DIR/buildinfo.py" "$OUT" "$TAG" "$UBUNTU_VERSION" "$CODEX_VERSION" "$REPO_COMMIT" "$UBUNTU_IMAGE_SHA256" "${PLAYWRIGHT:-1}" "${CHROMIUM_HEADLESS_SHELL_REV:-}"
 fi
 echo "tag=$TAG"
 echo "out=$OUT"