feat: 新增系统提示词封面，并修正工具结果投影与常驻工具

系统提示词封面（新增能力）：

- extensions/system-prompt-cover.ts：读取 ~/.pi/agent/SYSTEM_COVER.md，
  在 before_agent_start 返回 { systemPrompt }，用文本拼接替换 Pi 默认
  系统提示词的开头，同时保留 tools / rules / docs / skills /
  project_context / cwd 全部分区及其原始顺序。
- 必须走 forceSystemPrompt 投影路径。customPrompt 选项会连带抑制
  tools / rules / docs 三个分区，而回填只能追加到末尾，无法恢复原顺序；
  且 forceSystemPrompt 优先级更高，二者同时存在时 customPrompt 会被
  静默忽略，因此 handler 不得写 customPrompt。
- 分割边界要求独占一行的裸标签：<project_instructions path="..."> 嵌套在
  <project_context> 内，只有裸标签才是分区边界。
- 注册在 tool-routing 之前，否则提示词已被压平，改 systemPromptOptions
  不再影响本轮请求。
- scripts/deploy-system-prompt-cover.mjs：同目录临时文件 + rename 原子
  覆盖，不保留备份；install.sh 从脚本目录、update.sh 从升级后组合包
  定位 helper，禁止回退到可能陈旧的脚本目录。
- 封面缺失、不可读或空白时静默 no-op，Pi 行为保持不变；封面每轮重新
  读取，修改后在下一轮生效，不影响已结束的历史对话。

pi-compaction 投影修正：

- 仅在「摘要 + Source 行」严格短于原文时才替换工具结果。此前命中即
  无条件替换，小结果反而被包壳放大；未替换的结果完整保留原始 content
  parts（含非文本部分）。
- deterministic.maxStubTokens 由 256 提升到 1024。

pi-tool-search 常驻工具：

- alwaysEnabled 增加 context_tree_query：恢复被投影的工具证据不应依赖
  一次 tool_search 激活，常驻同时保持请求前缀稳定。
- BUNDLE_TOOL_SEARCH_DEFAULTS_VERSION 由 3 提升到 4；
  scripts/migrate-tool-search-settings.mjs 新增 version-3 快照常量，
  使其与 version-2 一样可被完整精确匹配并迁移。
- 权限策略为 context_tree_query 显式 allow：它只读扩展自己的 segment
  索引、不触碰工作区，常驻后不应每轮触发 AutoReview 往返。该种子仅在
  全新安装时部署，已存在的用户 policy.jsonc 不会被覆盖。

文档与测试同步：

- AGENTS.md：新增 system-prompt-cover 开发约定，修正加载顺序、
  bundleDefaultsVersion、可迁移旧快照集合与常驻工具范围的描述。
- pi-tool-search 的 README / CHANGELOG 同步 version 4 与新增常驻工具。
- tests/system-prompt-cover.test.ts：覆盖顺序保持、尾部逐字节不变、
  嵌套 project_instructions 不误判、部署幂等与覆盖、缺源时非零退出。
- 修正 pi-tool-search/test/config.test.ts 与
  tests/tool-search-settings-migration.test.ts 中写死的 version 3 与
  工具列表断言。
- update-git-clean-recovery / tool-search-settings-migration 的 mock
  组合包补拷 scripts/，与真实发布包结构一致，避免 helper 定位失败。

测试：根 61/61、pi-compaction 36/36 + tsc、pi-tool-search 16/16 + tsc、
pi-permission-system 2577/2577；sh -n 与 git diff --check 通过。

README.md

@@ -146,6 +146,18 @@ CodeGraph 本体不由组合包安装。需要使用 CodeGraph 的机器应自
 
 使用 `/dump-system-prompt` 可将当前扩展所见的有效提示词写入当前项目的 `.pi-debug/effective-system-prompt.md`。`.pi-debug/` 属于本地诊断输出，默认不提交。
 
+### 系统提示词封面
+
+`extensions/system-prompt-cover.ts` 把 Pi 默认系统提示词的**开头**替换为组合包权威的 `config/system-prompt-cover.md`（部署到 `~/.pi/agent/SYSTEM_COVER.md`），同时**保留其余全部分区及其原始顺序**：`<tools>`、`<rules>`、`<docs>`、`<skills>`、`<project_context>`、`<cwd>` 都不会被删除或重新排序。
+
+实现上使用 Pi 的 `forceSystemPrompt` 投影路径（每轮把渲染结果作为强制定本发送）而不是 `customPrompt` 选项：后者会连带抑制 `tools`/`rules`/`docs` 三个分区，且回填只能追加到末尾，无法保持顺序。封面只在**请求**时应用，不修改 transcript 中已持久化的结构化分区。
+
+封面每轮重新读取，因此修改 `~/.pi/agent/SYSTEM_COVER.md` 后在**下一轮**即生效，不需要重开会话；已经结束的历史对话不受影响。文件缺失或为空白时不干预，Pi 继续使用自身默认封面。
+
+该文件由组合包直接维护，`install.sh` 与 `update.sh` 会在组合包安装/升级后从组合包副本同步过去，**不保留备份并且会覆盖**本地修改；要自定义请直接编辑仓库中的 `config/system-prompt-cover.md`。
+
+`SYSTEM_COVER.md` 必须使用这个名字：不能改名为 `SYSTEM.md`，否则 Pi 会先把它当作 `customPrompt` 读入，封面扩展拿到的提示词就已经缺少可供回填的分区了。
+
 ### 接管当前 Chrome
 
 组合包固定加载 `pi-chrome@0.15.46`，但不会自动取得浏览器控制权。首次安装后在 Pi 中运行 `/chrome onboard`，按提示在 `chrome://extensions` 以 Developer mode 加载组合包内的 unpacked Chrome 扩展，再执行 `/reload` 与 `/chrome doctor`。每个 Pi session 仍需由用户显式运行 `/chrome authorize`；可用 `/chrome revoke` 立即撤销。Bridge 只监听 `127.0.0.1:17318`，Chrome 扩展具有广泛的 tabs/scripting/debugger 权限，应只从可信组合包安装。