[REQ-128][CODE] 宿主合同注册 opencode-plugin profile,并把 engine:config/engine:plugin 登记进 host capability registry #807

大白话

给宿主合同加第五种载荷:会在引擎进程内以同权限执行 JS 的 OpenCode Plugin。
今天 profile 注册表恰四个(agent/mcp-local/mcp-remote/skill),而且有三处 exact-set 断言
外加一条反向断言明写「registry 不许出现 opencode-plugin」—— 前几相不是忘了做,
是主动立闸挡住它悄悄进来。本票把那条闸翻成正向。

不新造 capability token。 用既有的 engine:plugin + engine:config
(host token 只靠 registry membership 判定,无 alpha.* 命名约束)。
新造会让 managed 路径比 legacy 路径披露得更少 —— 用户看不到「这东西会写引擎配置」。

方案基线(权威,边界与判据以它为准)

Phase 4 基线 §4 D2 / §4 D7 / §6 T1 — commit-pinned。

边界 / out of scope / 退出条件

见基线 §6 「票」表 T1 行(边界具体到文件与行号;退出条件六条)。要点:

• 退出条件必须用 bash scripts/alpha-check.sh 全绿,不许用局部 bun test src 代替;
• 新 artifactSha256 写进 PR 正文(T3 要用);
• 边界对夹具的期望值从 registry 读,不写字面量。

依赖

无。但必须与 T4(re-vendor)在同一个 alpha-code PR 里落地 —— packages/alpha-contracts-consumer/src/extension-package-artifact.test.ts:107 要求 vendored 宿主副本与本仓活的 host artifact 逐字节相同,而 alpha-check.sh 会跑 consumer 测试 ⇒ T1 单独合并时正式门就是红的。见基线 §6 硬序。

Refs #699