不再把開發用 template 塞進使用者資料夾；上游錯誤不再被退避訊息吞掉

## leo 三條裁決，逐條落實
① 「**別人的錯誤一律要顯示給用戶看，不然就會變成我的錯誤，導致客服**」
   → manifest entry 新增 `LastError`（存**原文**），退避訊息改成
     「上次失敗（第 N 次），58m 後重試｜**原因：**<上游原文>」。
     成功後清空，不留舊錯誤嚇人。
     測試 `TestUpstreamErrorSurvivesBackoff` 從上游錯誤字串出發，
     驗它活到給使用者看的那句話；反向驗證拿掉即紅。

② 「**拿來開發一般人用不到的根本別安裝**」
   → daemon 不再代裝 system-dev template（`CLAUDE.md`／`scripts/`／`system-dev/`，37 檔）。
     兩層傷害：把人家資料夾弄亂 ＋ 那些檔被當知識吃進去
     ⇒ 知識庫長出 `kb`／`t195-watch` 這種不是使用者內容的庫（leo 實撞）。
     `template-install` 子命令保留，開發者情境不受影響。

③ 「**它也不能只看隱藏檔內，因為 template 在我所有的 repo 裡不是隱藏的**」
   → 排除規則用**路徑身分**（`TemplateOwns()`，來源是內嵌 templatefs 的實際路徑
     ＋ `system-dev/`・`scripts/` 目錄前綴），**不是**「有沒有以點開頭」。
     測試刻意把 template 檔放成**不隱藏**（就像 leo 的 repo），驗它仍被排除；反向驗證即紅。
     這些檔也不計進「有 N 個檔案沒有被整理」——那欄是給使用者看他自己的檔案的。

## 順帶修 leo 截圖上的重複
「有 2 個檔案沒有被整理」底下 `scripts/sdd-active-check.sh` 出現兩次
——多帳號時同一個資料夾被掃多輪、每輪都 append。已去重。

## 殘項（誠實）
App 端失敗卡還沒接上這條線 ⇒ **畫面尚未真的顯示原因**。未打包、未送達。

manifest.go

@@ -9,6 +9,7 @@ import (
 	"fmt"
 	"os"
 	"path/filepath"
+	"strings"
 	"time"
 )
 
@@ -47,6 +48,14 @@ type ManifestEntry struct {
 	FailCount  int   `json:"fail_count,omitempty"`   // 連續失敗次數（成功即歸零）
 	LastFailAt int64 `json:"last_fail_at,omitempty"` // 最後一次失敗的 unix 秒
 	NextRetry  int64 `json:"next_retry,omitempty"`   // 早於這個時間不重試（0＝可立即重試）
+	// LastError＝最後一次失敗的**真正原因**（原文，不改寫）。
+	//
+	// 🔴 leo 2026-08-06 立的原則：「**別人的錯誤一律要顯示給用戶看，
+	//    不然就會變成我的錯誤，導致客服**」。
+	//    先前退避一開始，畫面就只剩「上次失敗（第 4 次），58m 後重試」，
+	//    真因（Cloudflare「當日免費額度用完」／「這份 PDF 沒有文字層」）**當場消失**
+	//    ⇒ 使用者以為是我們壞掉。原因必須跟著 entry 存活到下次成功為止。
+	LastError string `json:"last_error,omitempty"`
 }
 
 // retryBackoff 退避階梯：1m → 5m → 15m → 1h → 6h，之後每次 6h。
@@ -133,6 +142,7 @@ func (m *Manifest) MarkIngestedBy(path, sourceHash string, at int64, extractor s
 	e.ExtractedBy = extractor
 	// 成功即清掉失敗狀態（t195）：下次再壞會從第一階退避重新算起。
 	e.FailCount, e.LastFailAt, e.NextRetry = 0, 0, 0
+	e.LastError = ""
 	return true
 }
 
@@ -141,13 +151,16 @@ func (m *Manifest) MarkIngestedBy(path, sourceHash string, at int64, extractor s
 // 為什麼要記在 manifest 而不是記憶體：collector 每輪是獨立 process
 // （`direct --once` 由看守器反覆拉起），記憶體狀態一輪就沒了——
 // 這正是原本「1387 輪重試同一個檔」的原因：每輪都以為自己是第一次。
-func (m *Manifest) MarkFailed(path string, at int64) bool {
+func (m *Manifest) MarkFailed(path string, at int64, reason string) bool {
 	e, ok := m.Entries[path]
 	if !ok {
 		return false
 	}
 	e.FailCount++
 	e.LastFailAt = at
+	if strings.TrimSpace(reason) != "" {
+		e.LastError = reason // 存真因；退避訊息由呼叫端另外組，不覆蓋這裡
+	}
 	idx := e.FailCount - 1
 	if idx >= len(retryBackoff) {
 		idx = len(retryBackoff) - 1