覆盖网络线 S0+S1 落地：可达性单一入口 + 会合地址出 env

S0（本机）：新增 src/net/reachability.ts（Reachability 描述 + agentBaseUrlOf 唯一取值入口）、src/net/rendezvous.ts、docs/architecture.md（四层划分 + 依赖方向 + R1-R4 判据）、scripts/check-layering.mjs + layering-baseline.json、test/reachability.test.mjs；src/supervisor/remote-spawner.ts 与 src/web/server.ts 改为统一走 agentBaseUrlOf()，agentUrl 降级为可选旧字段（向后兼容）。

S1（本机 + 106）：新增 DSHS_RENDEZVOUS_URL 出 env（src/config.ts 解析 clusterRendezvousUrl，优先级 overrides > 新变量 > DSHS_TUNNEL_TARGET 兜底 > 空），src/worker/tunnel.ts 新增 normalizeTunnelTarget()、src/worker/agent.ts 改读新配置 ⇒ 双路径并存、可零代码回滚（删掉新 env 即走旧路径）。106 已上线，健康检查 tunnel.ready=true。

package.json 增加 check:layering 脚本并接入 verify；README 登记分层文档。

验收：npm run build 通过；npm test 44/44；check:layering 无新增违规（基线 5 条）。

src/web/server.ts

@@ -17,6 +17,7 @@ import { RemoteUserFs } from '../fs/remote-user-fs.js'
 import type { UserFs } from '../fs/user-fs.js'
 import { decrypt, deriveKey } from '../crypto.js'
 import { hashUid } from '../isolation.js'
+import { agentBaseUrlOf } from '../net/reachability.js'
 import { LocalSpawner } from '../supervisor/orchestrator.js'
 import { LeasedSpawner } from '../supervisor/leased-spawner.js'
 import { RemoteSpawner, type ClusterHost } from '../supervisor/remote-spawner.js'
@@ -339,7 +340,8 @@ export async function buildServer(config: ServerConfig): Promise<FastifyInstance
             selectHost,
             agentFor: (hostId: string) => {
               const h = hostDirectory.get(hostId)
-              return h === undefined ? undefined : { agentUrl: h.agentUrl, token: h.token }
+              // 取址统一走可达性入口（S0）—— `agentUrl` 已降级为可选旧字段
+              return h === undefined ? undefined : { agentUrl: agentBaseUrlOf(h), token: h.token }
             },
           },
         ))
@@ -354,7 +356,8 @@ export async function buildServer(config: ServerConfig): Promise<FastifyInstance
     hostIdFor: hostIdForFile,
     agentFor: (hostId: string) => {
       const h = hostDirectory.get(hostId)
-      return h === undefined ? undefined : { agentUrl: h.agentUrl, token: h.token }
+      // 同上一处：取址只经可达性入口（文件面与实例面共用同一份路由，别各自拼）
+      return h === undefined ? undefined : { agentUrl: agentBaseUrlOf(h), token: h.token }
     },
   })
   // T08 S5：cluster 模式下**所有 worker 的 dataRoot 必须是同一绝对路径**（基线约定，