v0.18.9：collector 併進同一支執行檔——磁碟上不再攤出第二支 exe

leo 08-06 裁決：「不要兩支，寫成一支檔案」。

## 為什麼
v0.18.7-8 的「單一 exe」其實是**一支包著另一支**：collector.exe 被 go:embed
進 Arcrun.exe，執行時攤到 ~/.arcrun-rag/bin/ 再跑。
那正是防毒軟體眼中的 dropper 特徵 —— 封測者實撞
`Trojan:Win32/Sabsik.FL.A!ml`，檔案當場被隔離、自動刪除。

⚠️ 誠實界定：`!ml` 結尾＝**機器學習判定**，Sabsik 是最常見的通用誤判家族，
   主因是「未簽章＋下載次數少」，**不是**特別指向 dropper 行為。
   所以本次改動**不保證**解除誤判——真正的解是上架 MS Store（微軟簽章）。
   但「執行時把第二支 PE 寫到磁碟再執行」本來就該拿掉，這是對的方向且順手變小。

## 怎麼做
- `collector/` 39 個檔 `package main` → `package collector`，`main()` → 匯出的 `Run(args) int`
- 新增 `collector/cmd/collector/`（薄殼 CLI，讓單獨跑 collector 這條路仍可用）
- App 直接 import 該套件；`main()` 第一件事就判 `--collector`，是的話走 `collector.Run` 不碰 GUI
- `supervisor` 加 `ArgPrefix`，App 把 `BinPath` 指向 `os.Executable()` 自己
- 刪掉 `bundled_collector_{windows,other}.go`（embed + 攤檔那套）
- 三支打包腳本不再編/複製第二支；版本注入同時打到兩個 package
- build-win.sh 的機械閘改成**直接問它**：`--collector --version` 回得出版本才放行
  （舊閘是比大小，只能證明「有 embed」，證明不了「分派是對的」）

## 驗（真機實跑）
· `.app/Contents/MacOS/` 只有 **一個** 執行檔（原本兩個）
· 跑起來兩個行程是**同一個 exe**：
    …/MacOS/arcrun-app
    …/MacOS/arcrun-app --collector direct --config …
· `~/.arcrun-rag/bin` **不存在**（沒有任何東西被攤出來）
· 端到端：丟檔進看守資料夾 → collector.log `"status":"ingested","http_status":200`
· `lsappinfo` 仍是 `type="UIElement"`、`Version="0.18.9"`
· collector 39 檔測試全過；app 測試過；go vet 全綠；mac + windows 交叉編譯皆過
· 單檔 26MB → 22MB（不再夾帶第二份完整程式）

cmd/arcrun-app/main.go

@@ -3,8 +3,11 @@ package main
 import (
 	"context"
 	"embed"
+	"os"
 	"sync/atomic"
 
+	collector "arcrun-rag/collector"
+
 	"github.com/wailsapp/wails/v2"
 	"github.com/wailsapp/wails/v2/pkg/options"
 	"github.com/wailsapp/wails/v2/pkg/options/assetserver"
@@ -36,7 +39,26 @@ func beginQuit() { quitting.Store(true) }
 // 這個判斷才是 leo 08-06 那個 bug 的核心（結束與按 × 共用同一個回呼）。
 func closeMeansHide() bool { return !quitting.Load() }
 
+// collectorModeFlag 是「把自己當同步引擎跑」的第一個參數。
+//
+// 🔴 2026-08-06 leo 裁決：「不要兩支，寫成一支檔案」。
+//
+//	collector 的程式碼已經編進這個執行檔（arcrun-rag/collector.Run），
+//	所以 supervisor 拉起子行程時跑的是**同一個 exe**，只是多帶這個參數。
+//	磁碟上不會出現第二支執行檔——那正是 Windows Defender 判 dropper 的特徵
+//	（封測者實撞 Trojan:Win32/Sabsik.FL.A!ml，檔案被隔離）。
+//
+//	用雙連字號開頭而不是子命令，是為了與 collector 自己的子命令（scan/sync/direct…）
+//	區分：使用者手動打的是那些，這一個是我們內部用的。
+const collectorModeFlag = "--collector"
+
 func main() {
+	// 🔴 必須是 main() 的**第一件事**：這個模式下不能碰 GUI、托盤、單一實例鎖，
+	//    否則每跑一輪同步就會多一個托盤 icon、還會被單一實例鎖擋掉。
+	if len(os.Args) > 1 && os.Args[1] == collectorModeFlag {
+		os.Exit(collector.Run(os.Args[2:]))
+	}
+
 	app := NewApp()
 
 	// 🔴 托盤必須在**主執行緒**建立（NSStatusItem 內部會 new NSWindow，