fix(web/sw): shell 资源用 network-first，硬刷新一次即生效

[SymbolStar]

问题

Scott 反馈「PR #106/#109 已 merge、服务器 serve 的文件也是新的，但浏览器里还是抖」。

排查发现：web/sw.js 对 app.js / style.css / xiaof.* / src/* 这些 shell 资源用的是 stale-while-revalidate——先吐 cache 里的旧版给页面，后台再异步拉新版放进 cache。意味着每次部署后用户第一次刷新看到的还是旧版，要再刷一次（或 clear site data）才能用上新版。

修复

shell 资源改成 network-first：

event.respondWith((async () => {
  const cache = await caches.open(CACHE_VERSION);
  try {
    const res = await fetch(req);
    if (res && res.ok && res.type === 'basic') {
      cache.put(req, res.clone()).catch(() => {});
    }
    return res;
  } catch {
    const cached = await cache.match(req);
    if (cached) return cached;
    throw _e;
  }
})());

• 在线场景：每次都拿最新，零陈旧。
• 离线场景：网络失败才用 cache 兜底，PWA shell 体验不变。
• 顺便 CACHE_VERSION 从 v1 bump 到 v2，activate 时清掉旧 cache。

验证

• node --check web/sw.js 通过。
• 部署后用户硬刷新一次（Cmd+Shift+R）即可看到新 app.js / style.css，不需要 clear site data，也不需要刷两次。
• 离线打开 OpenForge 仍然能加载 shell（之前的行为）。

[github-actions]

🤖 bot-review (comment-only · phase 1)

Diff: 2 files changed, 26 insertions(+), 15 deletions(-) @ bec0e27

Red-line checks:

• ✅ A-7.5: no new 'forbidden' code in xiaof

---

Phase 2: auto-approve + auto-merge fire only when red-lines are clean, author is internal, and no needs-human path is touched. Block with no-auto-merge label or [no-auto-merge] in title.

[github-actions]

✅ Auto-approved by bot-review: red-line checks clean, internal author, no needs-human paths.