fix: deduplicate bundle installations

[z2z23n0]

变更

• 将同一路径的 command/path probe 合并到真实 Binding 证据，避免重复物理 Installation。
• 从 npm probe 的最近 package.json 读取精确包名和已安装版本。
• 只清理未配置 Bundle 中本轮未见的陈旧 Installation。
• 修正 Mainline 派生 Hook 与 Sherlog CLI 的 recipe selector，避免 Skill 错误归属。

验证

• go test ./internal/bundle ./internal/store ./internal/cli ./internal/reconcile
• go vet ./...
• go build ./...
• 全仓 gofmt 与 git diff --check
• 在本机状态数据库隔离副本上扫描：mainline=2 installations/4 consumers，agent-capsule=2/2，sherlog=2/1