plus.downloader.createdownload是唯一靠谱选择，因其支持断点续传、重试机制、精准filename路径控制及statechanged状态监听，而uni.downloadfile无校验、无重试、无断点且临时路径易失效。
不能靠 uni.downloadFile 直接下完就装——它不校验、不重试、不支持断点，wgt 包一丢就失效。
为什么 plus.downloader.createDownload 是唯一靠谱选择
wgt 更新包虽小，但弱网下极易中断；uni.downloadFile 没有重试机制、无法监听下载中状态、返回的临时路径还可能被系统回收。而 plus.downloader.createDownload 支持：
• 断点续传（网络恢复后自动接着下）
• retry: 3 和 retryInterval: 30 可兜底运营商抖动
• filename 指定绝对路径，确保 plus.runtime.install 能精准定位文件
• 可监听 statechanged 做进度 UI，避免用户以为“卡死”
filename 必须带完整路径且以 .wgt 结尾
写错 filename 是静默失败最隐蔽的原因之一：它不会报错，但 plus.runtime.install 找不到文件或校验失败，最终白忙一场。
• 正确写法：plus.io.convertLocalFileSystemURL('_doc/update_1.2.3.wgt')
• 错误写法：'update.wgt'（相对路径）、'/tmp/update'（无后缀）、'http://xxx.com/app.wgt'（URL 不是本地路径）
• iOS 上必须用 convertLocalFileSystemURL 转换，否则路径无效
• Android 低版本（如 5.1）对路径大小写敏感，确保后缀是小写 .wgt
下载完成 ≠ 可安装，必须校验 wgt 合法性再 install
plus.runtime.install 对非法 wgt 包会静默失败，控制台只打印 install wgt fail: invalid wgt file，不告诉你哪里错了。
常见原因包括：
• wgt 包根目录缺失 manifest.json（HBuilderX 打包时未勾选「生成 wgt 包」或目标平台选错）
• manifest.json 中的 appid 与当前 App 的 plus.runtime.appid 不一致（测试环境混用不同项目 wgt）
• 签名不一致（云打包 wgt 不能用于自定义基座，反之亦然）
• CDN/Nginx 未设置 Content-Type: application/octet-stream，部分 Android WebView 拒绝解析
install 成功后必须立刻调 plus.runtime.restart()
这是最容易漏掉、也最致命的一环：
• plus.runtime.install 只负责把 wgt 解压到私有目录，JS 引擎、Vue 实例、路由缓存仍指向旧资源
• 不调 plus.runtime.restart()，页面完全没变化，甚至出现白屏、404 或新旧代码混用报错
• 必须在 success 回调内**同步执行**，不能加 setTimeout、不能 await、不能放在异步链里
• 低端安卓机（Android 5+）冷启动时若延迟调用，大概率白屏，且无法恢复
真正静默的关键不在“下载是否弹窗”，而在于整个流程是否绕开了系统安装页——wgt 是唯一能达成这点的路径，但它极度依赖路径、签名、时机三者严丝合缝。任意一环松动，用户就卡在旧版本里，还毫无感知。
