feat(channel): N1b —— 输出通道授权集合（三处过滤一致）+ 输出通道→目标 agent 的 inputch 解析

设计：docs/zh/resident-subagent-design.md §4.5（里程碑 N1b）。

## 输出通道授权集合（默认完整授权，父可收窄）

`AgentConfig.AllowedOutputs`（nil/空 = 完整授权）。三处过滤点必须一致，
否则会出现「列表里看不到、按名字还能调」的裂缝：

1. **工具表**：不为未授权的通道生成 output_send__X（模型看不到就不会调）
2. **列表工具**：output_list_channels 只列授权的
3. **调用点**：凭名字直调未授权的输出门必须被拒（纵深防御）

## 输出通道 → 目标 agent 的 inputch 解析

`ChannelRegistry.BindOutputTarget / ResolveOutputTarget`：
把输出通道解析成「目标 agent + 目标 inputch」，这是"输出可寻址到具体 agent"
（子→父、父→指定子）的**数据面**；真正的跨 agent 投递在里程碑 N4。
未登记的输出通道 ok=false —— 表示由传输层 device 自行处理（qq/webui 这类）。
已登记目标的输出通道，在 output_list_channels 里会标出「目标: <agent> / inputch <名字>」。

## 验收

`internal/agent/core/output_grant_test.go`（3 项）：
- 默认完整授权：全部输出门生成 + 列表含全部
- 白名单收窄：三个过滤点同时生效（工具表 / 列表 / 直调被拒）
- 目标解析：绑定/解析、未登记由传输层处理、列表标出目标、空名报错

全仓 go test ./... 37 包 ok / 0 FAIL。

internal/agent/core/output.go

@@ -16,6 +16,11 @@ func (a *Agent) executeOutputSendTool(tc agentAPI.ToolCall) string {
 	if channel == "" || payload == "" || rawType == "" {
 		return "工具名称格式: output_send__{channel}，payload 和 type 不能为空"
 	}
+	// 授权闸（纵深防御）：模型可能凭名字直接调未授权的输出门。
+	if !a.IsOutputAllowed(channel) {
+		return fmt.Sprintf("通道 [%s] 未授权给本 agent。可用通道见 output_list_channels", channel)
+	}
+
 	meta, _ := tc.Arguments["meta"].(string)
 
 	caps := a.io.GetChannelCapabilities(channel)
@@ -146,7 +151,14 @@ func (a *Agent) executeOutputListChannels() string {
 		if ch.OutputCaps == 0 {
 			continue
 		}
-		parts = append(parts, fmt.Sprintf("  - %s: [%s] %s", ch.Name, ch.OutputCaps.String(), ch.Description))
+		if !a.IsOutputAllowed(ch.Name) {
+			continue
+		}
+		line := fmt.Sprintf("  - %s: [%s] %s", ch.Name, ch.OutputCaps.String(), ch.Description)
+		if t, ok := a.ResolveOutputTarget(ch.Name); ok {
+			line += fmt.Sprintf("（目标: %s / inputch %s）", orDash(t.AgentID), orDash(t.InputCh))
+		}
+		parts = append(parts, line)
 		for _, t := range ch.Tools {
 			parts = append(parts, fmt.Sprintf("     工具: %s - %s", t.Name, t.Description))
 		}