fix(docker): 构建时按 TARGETARCH 下载 kubectl，移除 backend/kubectl 依赖

- 新增 scripts/install-kubectl.sh，支持 linux amd64/arm64
- Dockerfile.embed 后端 CGO 编译跟随 TARGETARCH，修复 Mac ARM 构建失败
- backend/Dockerfile 同步改为构建时下载 kubectl

backend/Dockerfile

@@ -10,6 +10,7 @@
 # 构建参数 — 版本号通过 git tag 或环境变量注入
 ARG VERSION=dev
 ARG BUILD_TIME=unknown
+ARG KUBECTL_VERSION=v1.32.2
 
 # ==================== Stage 1: Backend Builder ====================
 FROM golang:1.24-alpine AS builder
@@ -76,19 +77,23 @@ RUN --mount=type=cache,target=/go/pkg/mod \
 # 固定版本避免 :latest 每次变动导致全量 cache 失效 // Logan.Li
 FROM alpine:3.20
 
+ARG TARGETARCH
+ARG KUBECTL_VERSION=v1.32.2
+
 # 使用国内 Alpine 镜像源加速 // Logan.Li
 RUN sed -i 's|dl-cdn.alpinelinux.org|mirrors.tuna.tsinghua.edu.cn|g' /etc/apk/repositories
 
 # 安装运行时依赖（核心最小集，重型工具改为懒加载）// Logan.Li
 # bash=kubectl交互终端, curl=健康检查, git=流水线代码拉取, docker-cli=镜像构建推送
-# kubectl=预装（~50MB，K8s交互终端必需），maven/nodejs/helm → 工具配置Tab懒加载
-# Pod文件浏览/exec 通过 WebSocket channel 协议直连 K8s API，无需 kubectl
+# kubectl 按 TARGETARCH 下载（linux/amd64|arm64）// Logan.Li
 RUN --mount=type=cache,target=/var/cache/apk \
     apk add ca-certificates tzdata bash curl git docker-cli docker-cli-buildx
 
-# kubectl 预装（~50MB，本地打包进镜像，避免 Docker build 时网络下载）// Logan.Li
-COPY backend/kubectl /usr/local/bin/kubectl
-RUN chmod +x /usr/local/bin/kubectl
+COPY scripts/install-kubectl.sh /tmp/install-kubectl.sh
+RUN chmod +x /tmp/install-kubectl.sh && \
+    TARGET_OS=linux TARGET_ARCH="${TARGETARCH}" KUBECTL_VERSION="${KUBECTL_VERSION}" \
+    /tmp/install-kubectl.sh /usr/local/bin/kubectl && \
+    rm -f /tmp/install-kubectl.sh
 
 # npm 淘宝镜像加速（node 懒加载后生效）
 RUN npm config set registry https://registry.npmmirror.com 2>/dev/null || true