session-mechanism：建任务的 RunLevel 改成按账户权限自适应（非管理员机不再被拒）

现象：常驻每次尝试给自己装保活任务，日志都留一行「常驻自我供给（计划任务）：⛔ 登记失败：
Register-ScheduledTask : 拒绝访问」⇒ 非管理员账户的机器上常驻没有自愈载体（死了没人拉）。
真因（2026-10-12 实测坐实）：建任务时把运行权限写死成 `-RunLevel Highest`，而该机账户不是
管理员，Windows 直接拒绝注册；同一个任务去掉这个参数就建得成。

改法（一次性判定，⛔ 不用「先按 Highest 建、失败再重试」—— 那会让每次多一次失败注册）：
新增 `_admin_principal_flag()`：管理员（进程已提权）⇒ ` -RunLevel Highest`（原行为不变）；
非管理员 ⇒ 空串（整段去掉 `-RunLevel`）；判不出来 ⇒ 按普通权限走（宁可少一次提权，也要建得成）。
落点三处：`collabctl.py::ensure_keepalive_tasks()` 两处（保活任务 ＋ 看板任务）、
`collabd.py::_escalate_to_keeper()` 一处（自我供给旁路）。

同批退役（定案 A）：`scripts/keepalive.py` → `keepalive.py.retired-20261012`。
它零 importer、不在 `deploy_code.py` 分发清单，`references/deploy.md §4` 早已写明它是
「旧副本、职责已被本 skill 吸收」；留着就是第二份建任务实现，与「建任务只许一处」相抵。
⚠️ 它的 `-ExecutionTimeLimit (New-TimeSpan -Minutes 2)` 确实与另三处（无时限）不一致，
退役后该不一致一并消失；工作区侧无同名副本，无需清理。

文档订正（旧结论是误归因）：
  · `assets/board-launch.py.tpl` 那条「`Highest` 不是可选项：`Limited` 实测 `LastTaskResult=1`」
    ⇒ 订正为「`RunLevel` 按账户权限定」。看板 `LastResult=1` 的真因是单例守卫 ＋ `pythonw`
    无 stdout 把退出码顶成 1（`references/pitfalls.md` 已写明），与 `RunLevel` 无关；
    非管理员机上 `Limited` 实测建得成、也跑得起来。
  · `SKILL.md`、`references/supervise-persistence.md` 同步改口径。
  · `references/deploy.md` 包内脚本清单去掉 `keepalive.py`。

验证（本机实跑，⛔ 不真建任务：把脚本调用拦下来只看文本）
  · 两分支对照：管理员分支 6/6 段带 `-RunLevel Highest`；强制非管理员分支 6/6 段无 `RunLevel`。
  · 与改动前逐字对照：管理员分支生成的脚本归一化后完全一致（6/6 段）⇒ 原行为不变。
  · `selftest.py`：改前 110/0、改后 110/0（无回归）。
  · `install.py --manifest`：77 份文件、语法失败 0。
  · 副本已分发到本机 4 个工作区（md5 与源一致）。
⚠️ 非管理员分支本机验不到（本机是 Administrator）⇒ 该档验收需在非管理员账户的机器上跑。

session-mechanism/references/deploy.md

@@ -109,7 +109,7 @@
 
 | 层 | 文件 | 装什么 | 谁读 |
 |---|---|---|---|
-| **L0 技能包级**（每台机器一份） | `<技能包>/env/roots.env`（真文件不入库；样例 `*.example` 入库） | 这台机器的根：`DSH_WS_ROOT`、`DSH_AIROOT`、`WB_RESULT_HOOK_WS`、`COLLABD_PROD_CONFIG`、`CODEBUDDY_CONFIG_DIR`、`DSH_DOCS_ROOT` | **包内脚本**：钩子（`scripts/hooks/*`）、`board.py`、`goalctl.py`、`collabctl.py`、`keepalive.py` |
+| **L0 技能包级**（每台机器一份） | `<技能包>/env/roots.env`（真文件不入库；样例 `*.example` 入库） | 这台机器的根：`DSH_WS_ROOT`、`DSH_AIROOT`、`WB_RESULT_HOOK_WS`、`COLLABD_PROD_CONFIG`、`CODEBUDDY_CONFIG_DIR`、`DSH_DOCS_ROOT` | **包内脚本**：钩子（`scripts/hooks/*`）、`board.py`、`goalctl.py`、`collabctl.py` |
 | **L1 工作区级**（每工作区一份） | `<工作区>/.workbuddy/collab/collabd.config.json` | 这个工作区自己的东西：`workspace`／`inbox`／`live`／`taskgraph`／`host_db`（可写本机绝对路径）／`peer_workspaces` | **部署副本**：`<ws>/.workbuddy/collab/` 下的 `collabd.py`、`goalctl.py` |
 
 **桥接（谁把两层接起来）**：`scripts/supervise-launch.py`（常驻）与 `scripts/board-launch.py`（看板）。