refactor: keep root install as the sole installer source

skills/references/install.md

@@ -54,7 +54,7 @@ bash install --release /可信发行目录 --trusted-key /独立确认的公钥
 
 公钥可公开提交；签名私钥绝不能进 skill、源码仓库或发行包。只有已独立确认的公钥才可作为 `--trusted-key`，不能从未知下载包顺手取一把钥匙作为信任依据。
 
-已持有完整 skill 时仍可直接运行 `sudo python3 <skill目录>/scripts/install.py`，它与根 Bash 入口复用同一安装实现。
+skills 只提供安装指引，不携带独立安装器；首次安装统一使用上述 `install` 入口。
 
 ## 一条命令更新核心与 skill
 
@@ -76,4 +76,4 @@ update 只访问内置官方发行源，先准备核心、同版本完整 skill
 
 统一源码仓库为 `ssh://git@git.dever.cc:2222/shemic/dever.git`。`skills/` 是主仓库中的普通目录，与核心、模板和安装器一起提交、校验及发行；无需初始化 submodule 或另行克隆 skill 仓库。普通应用开发者无需克隆核心或编译 Rust。
 
-根 `install` 从 `skills/scripts/install.py` 与 `skills/assets/release.pub` 生成；修改安装器后运行 `python3 sdk/install-entry.py`，交付前运行 `python3 sdk/install-entry.py --check`。禁止单独修改生成物中的安装算法。首个新源发行包发布前，默认下载会明确失败；使用真实签名本地包可验证安装，但不能代表线上安装或更新已经通过。
+根 `install` 是唯一安装源码，直接维护其中的 Bash 入口和内嵌 Python 实现，无需生成步骤。独立固定公钥不得来自下载包；修改后检查 `bash -n install`，并运行 `python3 -B -m unittest discover -s test/onboarding -p 'test_install*.py' -v` 验证参数传递、验签和失败清理。首个新源发行包发布前，默认下载会明确失败；使用真实签名本地包可验证安装，但不能代表线上安装或更新已经通过。