refactor(agent): R4 工作式子语义落地 + 清除 R1–R3 遗留的死代码

## 1. 工作式子的工具禁令收成单一事实来源

禁令此前写了两遍：定义侧（把工具从 childTools 滤掉）与执行侧
（模型硬调时拒绝）。两处名单必须逐字一致，任何一边落后就是真实缺口：

  定义侧漏滤 ⇒ 模型看得见但不该能用（白耗 token，还会反复试）
  执行侧漏拒 ⇒ 模型绕过定义直接调用**就能生效**

现在只有 workerForbidden 一张表，每条禁令把"匹配方式 + 类别 + 解释"
绑在一个结构体里；定义侧 workerToolAllowed、执行侧 workerToolReject
都从它派生。

上一版我用 reason 字符串 + 下标猜分类 + hint 查表做了三处间接，
属于新造的技术债，已重写为单表直查。

判据（均经变异验证）：
  TestWorkerToolDenyListIsSingleSource  长出第二份名单 ⇒ 红（实测确认）
  TestWorkerToolAllowedMatchesReject    两侧判据漂移 ⇒ 红
  TestWorkerToolRejectExplainsWhy       拒绝文案不可执行 ⇒ 红

## 2. 删除零使用的抽象（不留技术债）

R1–R3 引入了 ChildKind / Host / Deliverer / DeviceResolver / ToolSpec /
ToolResult / DeclaredKinds / KindWorker / State / SetState / BumpRound /
ChannelDisposition，实现过程中发现它们是假抽象：

  · 各类型要用载体 Agent 的大半能力，要满足接口就得在实现里类型断言回 *Agent
  · 接口比被抽象的东西还大 ⇒ 只是把复杂度换个地方放
  · 实测：26 个导出符号里 20 个零使用、零实现

已删除 host.go 与 kind.go，并把"四种类型清单"和"转投驻留子为何不是类型"
这两个有价值的结论移进 kinds.go 的文档注释（知识保留，死代码删除）。

child 包现在只剩实际被用的 9 个符号：Kind / Child / Entry / Registry /
StopDeps / ErrChildExists / ErrChildNotFound（+ 2 个 Kind 常量）。

## 3. 修掉误导性签名

Entry.Dispose(policy ResidualPolicy) 里 policy **两个实现都不读** ——
残余处置实际走 ApplyResidual / FinishResidentWith，在 Dispose 之前就
已经完成。看签名会以为这里处理残余，是误导。已去掉该参数，
并删掉 child 包里重复定义的 ResidualPolicy（core 包已有一份，且多一个 stash）。

## 验证

  go build ./...                                  PASS
  go vet ./...                                    PASS
  gofmt -l                                        干净
  go test ./internal/agent/core/ -count=1         ok 15.300s
  go test ./internal/agent/core/ -count=1 -race   ok 18.040s
  干净检出（git worktree）单独 build + vet + test  PASS

internal/agent/core/resident.go

@@ -145,7 +145,7 @@ func (rc *residentChild) Kind() childpkg.Kind { return childpkg.KindResident }
 //
 // 这三种通道处置是驻留子独有的语义（ChannelDisposition），
 // 由父在销毁时决定，写在 `residentDisposition` 上供本方法读取。
-func (rc *residentChild) Dispose(policy childpkg.ResidualPolicy) string {
+func (rc *residentChild) Dispose() string {
 	// 关记忆句柄：temp 与子同生共死（连同目录一起丢弃）。
 	//
 	// ★ 通道处置**不在这里**：它需要父的 sched / io（接回时要把暂存任务