AgentServer/deploy/agent-mounter.service

# AgentServer 资料库挂载服务（docs/design/21-knowledge-sources.md §4.1）
# 以部署用户运行（__USER__ 由 deploy.sh 替换），把本机目录只读挂到 /srv/agent-server/knowledge/mnt/<id>。
# 注意：
# - 挂载必须发生在主机的挂载命名空间，不能用 ProtectSystem、ProtectHome、PrivateTmp、ProtectKernel* 等会创建挂载命名空间的选项；
# - fusermount3 是 setuid 程序，不能开 NoNewPrivileges，也不能用会隐含它的选项（SystemCallFilter、LockPersonality、RestrictRealtime 等）。
[Unit]
Description=AgentServer 资料库挂载服务
After=local-fs.target

[Service]
Type=simple
User=__USER__
SupplementaryGroups=agentsvc
ExecStart=/srv/agent-server/app/mounter/agent-mounter
Restart=on-failure
RestartSec=3
MemoryMax=1G
TasksMax=256

[Install]
WantedBy=multi-user.target