feat: 增量升级路径 --upgrade / --ui-only

- 已装机器默认自动走升级，保留 secret/网卡/账密
- 默认不重下 sing-box、不 rebind、不 verify
- scripts/upgrade.sh + install.sh 入口 + README

docs/ops.md

@@ -0,0 +1,23 @@
+# 运维
+
+## 正确用法
+
+1. 系统照常上网（WiFi）— 不经过代理  
+2. 需要「用流量出口」时：把应用的 HTTP/SOCKS 指到 `LAN:7890`  
+3. `cpxy verify` 确认代理 IP ≠ 直连 IP  
+
+## 内存
+
+```bash
+MEMORY_MAX_MB=64   # 更紧
+LOG_LEVEL=error
+```
+
+## 卸载
+
+```bash
+sudo systemctl disable --now cellular-proxy
+sudo rm -f /etc/systemd/system/cellular-proxy.service /usr/local/bin/cpxy
+sudo systemctl daemon-reload
+sudo rm -rf /opt/cellular-proxy /var/lib/cellular-proxy /var/log/cellular-proxy
+```