✨ feat: WP-07 插件生态——Registry、三态分离与调用门（ADR-001/008）

- 迁移 14：plugin（kind 四形态、撤架三态）、plugin_version（Manifest JSONB + 规范化内容哈希签名、(plugin,version) 唯一）、plugin_installation（enabled + granted_permissions、(domain,plugin) 唯一）
- Registry：发布版本（Manifest 必须声明 permissions，签名=canonical 哈希）；撤架阻断新调用与新安装，历史审计保留（验证：撤架后 invoked 审计仍在）
- 三态分离（购买≠安装≠启用≠授权）：安装默认 disabled+零授权；启用必须显式授予权限子集（越界 422）；调用门逐级校验（未装/未启/撤架各 403）
- 升级：Manifest 新增权限必须重新确认（未确认 422 且明示新增项）；确认后升级成功
- 调用：按 Manifest response_template 真实执行（声明式确定性回填）；remote/isolated 形态明示 501 随沙箱交付（WP-14），不静默降级；审计含版本哈希（快照语义）
- 权限标识统一 group:item 格式
- 测试 86 项全绿（+4）：三态流、越界、升级确认、撤架阻断与历史保留

backend/app/main.py

@@ -15,6 +15,8 @@ from app.marketplace.routes import finance_router, webhook_router
 from app.marketplace.routes import router as marketplace_router
 from app.memories.routes import cycle_router
 from app.memories.routes import router as memories_router
+from app.plugins.routes import inst_router, invoke_router
+from app.plugins.routes import router as plugins_router
 from app.tools.routes import calls_router, tools_router
 from app.workspaces.routes import router as workspaces_router
 
@@ -46,6 +48,9 @@ def create_app() -> FastAPI:
     app.include_router(webhook_router)
     app.include_router(community_router)
     app.include_router(workspaces_router)
+    app.include_router(plugins_router)
+    app.include_router(inst_router)
+    app.include_router(invoke_router)
 
     @app.get("/healthz", tags=["ops"])
     async def healthz() -> dict[str, str]: