病相

git pull后跑install.sh，装出老版本（本例：.17），且幂等短路＋验证门禁全程绿灯，零告警。

根因（install.sh，一手读码＋沙盒复现）

1. resolve_version（:281）：本地模式 EXPECT_TAG=$(git describe --tags --abbrev=0)——只读本地tag面，全仓无一处 fetch --tags 刷新。
2. ensure_source（:260-265）：EXPECT_TAG非空即 worktree 到该tag构建——构建的是tag定值，与pull后的HEAD无关。
3. verify（S1）期望串＝产物自身输出；idempotent_shortcircuit 部署位==EXPECT_TAG即短路——错版安装自洽通过。

复现（/tmp沙盒，不碰真实仓）

clone主仓，tag -d v1.10.18（复刻pull未取到tag），HEAD=1d8b26cbe与master同值；describe ⇒ v1.10.17 ⇒ 将构建1cb15ba59720（.17定值）。

AC（dev修）

1. 本地无--version时先 git fetch --tags 刷新，失败fail-closed die。
2. EXPECT_TAG必须等于远端最新tag（复用remote_latest_tag），不等即die并显名两值。
3. verify加远端最新核对；复现体跑安装盘必须die或装.18，不得静默装.17。