chore(release): v1.6.1 版本号与安装链接 bump（首次由发布链自动产出资产）

[stack-wuh]

变更

• package.json：version 1.6.0 → 1.6.1。
• README.md：bootstrap 安装 URL 同步为 /v1.6.1/。
• 载体 brief（动机、覆盖范围、决策、任务、结果）。

影响

• 交付内容：#64 让 bind execute 不再因技能目录含子目录抛 EISDIR；#67 为 CLI 补上发布链（publish.yml + scripts/publish.mjs：版本权威 → pack → 资产名契约 → 上传 → 回读）。
• 本载体的真正目的是端到端验证那条发布链：v1.6.0 的资产是我手工 pack.mjs + gh release upload 补的；v1.6.1 必须由 Actions 自动产出，否则等于发布链从未被证明可用。
• 明确不受影响的范围：零代码改动，lib/ 与 cli.mjs 未动、命令目录不变 → 插件 requiresCommands 判定不受影响；install-cli.sh 与 scripts/pack.mjs 未改；test.yml 触发矩阵不变。
• 时序：README 的 /v1.6.1/ 链接在本 PR 合并并打 tag 之前 404，属发版载体既有时序（先合并、后打 tag）。
• 回滚方式：revert 本 PR 即把版本与安装链接退回 1.6.0；未打 tag 前无外部产物影响。

验证

• 差异面：git diff --stat 仅 README.md、package.json 各 1 行；无旁逸文件。
• 版本一致：package.json.version = 1.6.1；README 安装 URL 指向 /v1.6.1/；全仓无残留 /v1.6.0/ 引用。
• 覆盖范围核对：git rev-list --count v1.6.0..HEAD = 4，其中两笔为归档提交（不属对外内容变更，已在此说明跳过理由），可见变更为 #64、#67。
• 未覆盖项（明说）：本 PR 无法自证发布链——publish-release 只在 release: published 事件上运行。合并后打 tag 的验收点为：Actions publish-release 绿 + releases/tags/v1.6.1 恰有一个 shadow-dev-cli-v1.6.1.tar.gz，且无人工上传介入；不成立即视为未交付并回填原因。

关联

• Closes [chore] 发版载体 v1.6.1：首次用自动发布链产出资产 #68
• brief: shadow-docs/changes/20261012-chore-release-v161/brief.md