fix(桥接): 模型清单过期时**起会话前**就剔掉（opencode 每轮白烧一次）

## 现象（线上实测，不是推演）

    [mail-bridge] 模型 opencode/mimo-v2.5-free 失败:
      Model not found. Did you mean: mimo-v2.6-flash-free, ling-3.0-flash-fin-free...?
    [mail-bridge] llmsproxy/AUTO 成功（前 1 个失败）

30 分钟内 9 次 —— **每一封邮件**的第一轮尝试都是它。

## 根因

`agent_allowed_models` 里 opencode 的 rank=0 仍是 `mimo-v2.5-free`，
而**上游已改名** `mimo-v2.6-flash-free`。查证：225 个 provider 的实时目录里
确有 `mimo-v2.6-flash-free`、无 v2.5；库里 `agent_model_catalog`
（心跳上报的快照，今天 01:28）也已含新名字。

⇒ 清单是管理员存下来的，**没有任何失效检测**。降级逻辑救了它（信还是回了），
但代价是**每轮白烧一次 + 延迟翻倍 + 一条永久错误日志**。

## 为什么不是「在服务端过滤掉」

`ListAllowedModels` 的注释明确否掉了这条路：
「不与目录做 JOIN：目录是平台上次注册时的快照……在这里用目录过滤，
只会把『目录暂时没上报但其实可用』的模型挡掉」。**这个判断是对的**，不改。

## 改法：桥侧预检（pi 桥早就有）

`pi-mail-bridge/src/worker.mjs:674-680` 同一件事已经做了，注释写着
「目录里根本没有这个路由：**同步就能判定，不必起一轮**」。
本提交把那条纪律提到共用层 `model-scope.js` 的 `partitionByCatalog`，
让 opencode / dsh / pi 共用。

**实测对比**（同一封信，修复前后）：

    修复前：模型 mimo-v2.5-free 失败: Model not found…   ← 起了一轮会话才失败
    修复后：跳过 opencode/mimo-v2.5-free：平台目录里没有…  ← 同步拦下，零会话
            llmsproxy/AUTO 成功

## ★ 最要紧的一条：拿不到目录时**全部放行**

心跳还没跑过 / 拉取失败 ⇒ 目录是 `undefined`。此时若照样剔除，
Agent 会**彻底哑掉** —— 而失效方向恰是「什么都收不到」。

与 `reportModels` 拉取失败时**省略字段而不是传空数组**同一方向。
判据里对 `undefined / null / [] / 'not-an-array' / 42` 五种输入逐个断言。

`routes` 被剔空时**退回平台默认**并打日志说明「请到管理页重新划定范围」——
否则发件人只看到「本次未能处理」，而管理员看不出自己的选择已过期。

## 判据（并入共用测试，三桥同源，33/33 过）

7 格，含：线上那个 case、拿不到目录必须全放行、`undefined` 路由不归目录管、
全失效时 kept 为空（退路是策略决定不是过滤职责）、provider 同名 model 不同不算数。

变异验证两向都打红：
  ① 去掉「拿不到目录就全放行」的保护 ⇒ ★那格红
  ② 键只用 provider（半匹配）  ⇒ 4 格红

plugins/pi-mail-bridge/lib/model-scope.js

@@ -124,6 +124,65 @@ export function modelAttemptOrder(allowed, envDefault) {
   return [undefined];
 }
 
+/**
+ * 把「目录里根本没有的路由」从尝试序列里剔掉。
+ *
+ * # 为什么需要它（2026-09-28 实测）
+ *
+ * 线上 opencode 的允许清单 rank=0 是 `opencode/mimo-v2.5-free`，而**上游已改名**
+ * 为 `mimo-v2.6-flash-free`。于是每一封邮件的第一轮尝试都是：
+ *
+ *     [mail-bridge] 模型 opencode/mimo-v2.5-free 失败:
+ *       Model not found. Did you mean: mimo-v2.6-flash-free, ...?
+ *     [mail-bridge] llmsproxy/AUTO 成功（前 1 个失败）
+ *
+ * 降级逻辑救了它（信还是回了），但代价是**每轮白烧一次 + 延迟翻倍 + 一条永久错误日志**。
+ *
+ * # 为什么 pi 桥早就有、这里没有
+ *
+ * `pi-mail-bridge/src/worker.mjs` 里同一件事已经做了，注释写着
+ * 「目录里根本没有这个路由：**同步就能判定，不必起一轮**」。
+ * 本函数就是把那条纪律搬到共用层，让 opencode/dsh/zcode 也拿到。
+ *
+ * ★ 关键：**剔不掉时必须原样保留**。
+ *   拿不到目录（心跳还没跑过 / 拉取失败）时返回**全部路由** ——
+ *   宁可真去试一次（失败会走既有的降级与故障报告），
+ *   也不能因为「我们不知道」就让人收不到回信。
+ *   这是与 `reportModels` 拉取失败时**省略字段而不是传空数组**同一个方向。
+ *
+ * @param {readonly ({provider: string, model: string}|undefined)[]} order 尝试序列
+ * @param {readonly {provider: string, model: string}[]|undefined} catalog 最近一次上报的模型目录
+ * @returns {{kept: ({provider: string, model: string}|undefined)[], skipped: {provider: string, model: string, reason: string}[]}}
+ */
+export function partitionByCatalog(order, catalog) {
+  const seq = Array.isArray(order) ? order : [];
+  const cat = Array.isArray(catalog) ? catalog.filter(m => m?.provider && m?.model) : [];
+
+  // ★ 拿不到目录 = 不做任何判断，把全部放行。
+  //   「我不知道」与「它不存在」必须分得开，否则一次心跳失败就会让 Agent 彻底哑掉。
+  if (cat.length === 0) {
+    return { kept: seq, skipped: [] };
+  }
+
+  const have = new Set(cat.map(m => `${m.provider}/${m.model}`));
+  const kept = [];
+  const skipped = [];
+  for (const r of seq) {
+    // undefined = 不指定模型、交给平台自己选 —— 它不经过目录，不归我们管。
+    if (!r) { kept.push(r); continue; }
+    if (have.has(`${r.provider}/${r.model}`)) {
+      kept.push(r);
+    } else {
+      skipped.push({
+        provider: r.provider,
+        model: r.model,
+        reason: `平台目录里没有 ${r.provider}/${r.model}（上游可能已改名或下线）`,
+      });
+    }
+  }
+  return { kept, skipped };
+}
+
 /**
  * 把多次尝试的失败原因整理成一封邮件正文。
  *