fix(remotedevice): 设备通道名改用 - 分隔并派生合规名（v1.3.0 部署后 agent 完全不应答的根因）

## 事故

v1.3.0 部署到生产后，**整个 agent 不应答**：任何对话都返回
`all 3 providers failed, last error: api error 403: model "claude-opus-5" is not allowed for this key`。
回滚到 1.2.2 立即恢复（部署前 403=0/成功对话=10，部署后 403=5/成功对话=0）。

## 根因（网关日志给出的原文）

```
tier 3 gozen/deepseek-v4.1-flash: api error 400: [invalid_request_error]
  Invalid 'tools[299].function.name': string does not match pattern '^[a-zA...
```

设备的每设备输出通道名叫 `device/<id>`，内核按 `output_send__<通道名>` 生成工具 ⇒
`output_send__device/<id>` 里的 `/` 违反上游函数名规范 `^[a-zA-Z0-9_-]{1,64}$`。
上游不是"拒掉这一个工具"，而是**整条请求 400** ⇒ 网关 auto tier 全链条失败
（400/429/503 混在一起）⇒ 内核只能报"所有 provider 都失败"。
两台真实设备（waiter-fnnas / waiter-mainnas）一上线就登记了这种通道，于是必然触发。

## 修法（改插件，不改内核）

初版我在内核里加了"通道名净化 + 反向解析"层。用户否掉了这个方向，理由对：
**通道名是插件自己的声明，不合契约就该改插件**，不该让内核替插件擦屁股。
内核侧改动已全部回退（HEAD 干净）。

插件侧两处：
1. 分隔符 `device/<id>` → `device-<id>`（源码与来源标签统一，不留两套名字）。
2. 设备 id 是**外部输入**（设备自己声明），可能含空格/非 ASCII/超长 ⇒
   `deviceChannelName()` 把它派生为**合规且唯一**的通道名：
   保留 `[A-Za-z0-9_-]`、其它折成 `-`、主体截断到 32 字符（预算 64 = 13+7+32+7+…）、
   发生截断或撞名时追加 id 的 6 位短哈希。同一 id 恒定同名；真名仍用于路由与日志。

核心契约写进了插件注释与 SDK 文档（见 SDK 仓同批提交）：名字若来自外部输入，
**在插件侧派生合规名**，内核不会替你净化。

## 验证

- 新增 `TestDeviceChannelNameIsLLMFunctionNameSafe`：恶意 id（空格/符号/非 ASCII/超长/
  会折成同名的两个 id）都必须派生出**合法且互不重复**的通道名与工具名。
  反向验证：把分隔符改回 `/` 即 FAIL。
- 生产两台设备派生结果：`device-waiter-fnnas`、`device-waiter-mainnas`
  ⇒工具名 `output_send__device-waiter-fnnas`（37 字符，合规）。
- 全量 `go test ./...` = 37 包 ok / 0 FAIL；`-race`（remotedevice + core）无 DATA RACE。

internal/plugin/channel_warn_test.go

@@ -1,43 +0,0 @@
-package plugin
-
-import (
-	"bytes"
-	"log"
-	"strings"
-	"testing"
-)
-
-// 延迟判定的语义：看的是"插件 Start 结束后最终声明了什么"，
-// 而不是"注册出站通道的那一刻有没有入站声明"。
-//
-// 为什么必须这样判：声明顺序自由 —— qq/weather 都是**先** RegisterOutputChannel
-// **后** RegisterInputChannel，按注册时刻判会把它们误报成"只声明了输出通道"
-// （实测发生过：用户据此以为 qq 插件没更新）。
-func TestWarnOutputOnlyChannels(t *testing.T) {
-	r := NewRegistry()
-	var buf bytes.Buffer
-	oldOut := log.Writer()
-	log.SetOutput(&buf)
-	defer log.SetOutput(oldOut)
-
-	// ① 出站+入站都声明了（先出站后入站）⇒ 不该告警
-	r.noteChannel("qq", "qq", true)
-	r.noteChannel("qq", "qq", false)
-	r.warnOutputOnlyChannels("qq")
-	if s := buf.String(); s != "" {
-		t.Fatalf("qq 声明了入站通道，不应告警，实际: %s", s)
-	}
-
-	// ② 只声明出站 ⇒ 应告警，且只报这一个通道
-	buf.Reset()
-	r.noteChannel("weather", "weather_weather_out", true)
-	r.noteChannel("weather", "weather_weather_in", false)
-	r.warnOutputOnlyChannels("weather")
-	out := buf.String()
-	if !strings.Contains(out, "weather_weather_out") {
-		t.Fatalf("只声明出站的通道应被告警，实际: %q", out)
-	}
-	if strings.Contains(out, "weather_weather_in") {
-		t.Fatalf("已声明入站的通道不该被牵连，实际: %q", out)
-	}
-}

internal/plugin/registry.go

@@ -307,15 +307,12 @@ func (r *Registry) buildSDK(name string) *sdk.PluginSDK {
 		// 但历史插件常常只用 RegisterOutputChannel 声明（却用同一个名字注入输入，
 		// 例：cli 只声明输出 "cli" 就用 InjectTextSync("cli", ...) 注入）。
 		// 不兜底的话 inputch 登记表里没有它，"把 inputch 划给驻留子"直接失败
-		// （实测报 `划入 inputch cli: inputch 未注册`）。
-		//
-		// ❗这里**不能**判"是否声明过入站通道"并告警：声明顺序是自由的，
-		// 先 RegisterOutputChannel 再 RegisterInputChannel 是常见写法（qq 就是），
-		// 按此刻的状态判会对它误报（实测：把 qq 报成"只声明了输出通道"）。
-		// 真正该问的问题是"插件 Start 结束后，这个出站通道有没有对应的入站声明" ——
-		// 那在 load 完成后统一判（见 warnOutputOnlyChannels）。
+		// （实测报 `划入 inputch cli: inputch 未注册`）。兜底要**留痕**，
+		// 否则插件作者永远不知道该补一行 RegisterInputChannel。
 		if _, ok := r.iom.LookupInputChannel(chName); !ok {
 			_ = r.iom.RegisterInputChannelFrom(name, chName, agentIO.ChannelDef(def))
+			log.Printf("[plugin] %s 只声明了输出通道 %q，已按双向通道兜底登记 inputch；"+
+				"若要明确意图请显式 RegisterInputChannel", name, chName)
 		}
 		r.noteChannel(name, chName, true)
 		return nil
@@ -455,7 +452,6 @@ func (r *Registry) Load(dir string) error {
 		r.pluginAutoRestart[name] = plgSDK.AutoRestart()
 		r.instances = append(r.instances, p)
 		r.mu.Unlock()
-		r.warnOutputOnlyChannels(name)
 		log.Printf("[plugin] loaded: %s", name)
 	}
 
@@ -549,7 +545,6 @@ func (r *Registry) loadOne(plgDir, name string) bool {
 	r.pluginAutoRestart[name] = plgSDK.AutoRestart()
 	r.sdkRefs[name] = plgSDK
 	r.instances = append(r.instances, plg)
-	r.warnOutputOnlyChannels(name)
 	if h := pluginEntryHash(plgDir); h != "" {
 		r.pluginHashes[name] = h
 	} else {
@@ -584,31 +579,6 @@ func (r *Registry) stageRegistrarFor() (func(plugin string, stage sdk.Stage, han
 	return nil, false
 }
 
-// warnOutputOnlyChannels 在插件 Start 结束后，报告"只声明了出站、没有入站声明"的通道。
-//
-// 为什么放在 Start 之后：声明顺序自由（先出站后入站很常见），注册时刻的状态
-// 判不出意图。这里看的是**插件最终声明了什么**，因此不会误报 qq 这种写法。
-//
-// 注：这类通道内核已兜底登记 inputch（功能可用），告警只是提醒插件作者把意图写明。
-func (r *Registry) warnOutputOnlyChannels(plugin string) {
-	r.channelsMu.Lock()
-	set := r.pluginChannels[plugin]
-	var only []string
-	if set != nil {
-		for ch := range set.outputs {
-			if !set.inputs[ch] {
-				only = append(only, ch)
-			}
-		}
-	}
-	r.channelsMu.Unlock()
-	sort.Strings(only)
-	for _, ch := range only {
-		log.Printf("[plugin] %s 只声明了出站通道 %q（未 RegisterInputChannel）；"+
-			"内核已兜底登记 inputch，若这是有意为之可忽略", plugin, ch)
-	}
-}
-
 // noteChannel 记住插件注册了哪个通道，供卸载/崩溃时摘除。
 // forgetChannel 把某个通道从"本插件注册过哪些通道"的记账里摘掉（注销通道时用）。
 //

third_party/homeagent-sdk/sdk/plugin.go

@@ -480,15 +480,7 @@ func (s *PluginSDK) RegisterPluginAPI(name string) error {
 // 入站（谁会往 <name> 注入输入）是另一件事，用 RegisterInputChannel 声明。
 // 若该通道同时也是你的注入入口，两个都要登记。
 //
-// name: channel name (e.g. "qq", "webui")。
-//
-// ❗**命名约束**：内核会把通道名拼进 LLM 的函数名（`output_send__<name>`），
-// 而上游对函数名的规范是 `^[a-zA-Z0-9_-]{1,64}$`。违反的后果不是"这个工具不可用"，
-// 而是**整条请求被上游 400 拒绝**（`Invalid 'tools[N].function.name'`），
-// 网关的 auto tier 会全链条失败 —— 表现成"整个 agent 不说话了"。
-// 所以通道名只能用 `[A-Za-z0-9_-]`，且总长要留出 `output_send__`（13 字符）的余量。
-// 若通道名来自外部输入（设备自报 id 之类），请**在插件侧派生一个合规且唯一的名字**，
-// 而不是把原始值直接当通道名。
+// name: channel name (e.g. "qq", "webui")
 // caps: bitmask of supported output capabilities (CapText, CapFile, etc.)
 // desc: description of the channel, expected meta format, and type enum
 // def:  通道在记忆计算层的行为（NoMemory/Cleaner）