test(pi-bridge): 临时目录满时不再伪装成内存缺陷 —— 前置自检 + ENOSPC 兜底

现场（2026-09-14 实测）：`/tmp` 是 tmpfs，被别人占满，`statfsSync` 实读
`bavail*bsize` 只剩 **0.70 MiB**。此时 `npm test` 红一条

    not ok 323 - ★巨大的 message 行不进内存也不影响解析
      error: 'ENOSPC: no space left on device, write'

那条红的**形状指向内存**（用例名里就写着"不进内存"，而它恰好是往临时目录写文件的
用例）⇒ 下一个踩到的人会去 `session-scan.mjs` 找一个**不存在**的内存缺陷。

改：
- `lib/tmp-space.mjs`：测量与判据分开，判据是纯函数 `judgeSpace`，喂字节数即可验；
  读不到可用空间（null/NaN）⇒ **不判红**（不知道 ≠ 不对，否则会造出"总在亮"的红灯）。
  **但 0 字节不是"不知道"** —— 第一版把 `<=0` 一并当"没测到"，于是 `bavail` 只剩
  712 字节时前置自检放行、紧接着 17 条用例 ENOSPC 全红：前置自检装了等于没装。
  阈值 32 MiB = 实测单条用例最大写入量（`session-scan` 那条写 3×3 MiB 行 ≈ 12 MiB）
  ×2 + 8 MiB 机动，不是总容量的百分比（百分比在这套测试上没有依据）。
- `test/env-preflight.mjs`（名字不带 `.test.`，不被 glob 收进用例）：
  `package.json` 的 test 改成先跑它；不足时打印实测/阈值/目录并 **exit 2**
  —— 与 `deploy/redeploy-plugin.sh` 的 `2=环境问题` 同一套约定，看到 2 才知道
  去查机器而不是查代码。文案里明写「这是环境不足，不是断言失败」。
- `session-scan.test.mjs`：兜底翻译 ENOSPC（`node --test 'test/*.test.mjs'` 会绕过
  前置脚本，这一句不管套件怎么被调起来都生效）—— 这正是治那条误导的关键。
- `test/env-guard.test.mjs`：8 条自证 —— 纯函数两头 + 边界（≥阈值算够、<阈值不够）
  + 0 字节必须红 + 读不到不判红 + 阈值有据 + 端到端 exit 2 且文案对得上。
  端到端那条**不假设本机 /tmp 仍然满**：先自己量一次，够用就跳过并说明原因，
  免得它退化成一条"总在亮"或"总在绿"的假判据。

顺带修 `deploy/check-deploy-drift.mjs` 两处同源问题：
- `selfCheck()` 要在临时目录造两棵小树，`/tmp` 满时抛 ENOSPC —— 而它是**未捕获异常**，
  堆栈指向本文件，看起来像检查器坏了。翻译成说得清的错并让 main() 报 2。
- 新增判据 ⑥「工作区干净」—— **只提示，不参与 exit code**。判据 ① 比的是
  「仓库工作区→快照」这一跳，覆盖不到「HEAD→工作区」那一跳（实证：一行未提交的
  死代码被 17:20 的快照带进生产，而 ① 报的是"逐字节一致"）。做成红灯就是一条
  总在亮的判据（本文件头自己骂过的病），所以只说、不判。

验证：`npm test` 453/453（新增 8 条）；`npm test` 在 /tmp 满时 exit 2 且不再跑用例；
`node deploy/check-deploy-drift.mjs --self-check` 17 条全过（含 ⑥ 的三条正反面）。

plugins/pi-mail-bridge/lib/tmp-space.mjs

@@ -0,0 +1,62 @@
+/**
+ * 临时目录空间：**测量与判据分开**。
+ *
+ * # 为什么要有这个东西
+ *
+ * 2026-09-14 实测（本机）：`/tmp` 是 tmpfs，9.8G 被占满，`bavail` 只剩
+ * **0.70 MiB**（`statfs` 实读）。此时跑 `npm test` 会红一条
+ * `★巨大的 message 行不进内存也不影响解析`，报 `ENOSPC`。
+ *
+ * 那条红**看起来像内存缺陷**（用例名里就写着"不进内存"，而它恰好是往临时目录
+ * 写文件的用例）。下一次踩到的人会去读 `session-scan.mjs` 找内存 bug —— 找的是
+ * 一个**不存在**的东西。环境不足伪装成断言失败，是这个文件存在的全部理由。
+ *
+ * # 判据的形状（与仓库既有约定一致）
+ *
+ * - 这里只有**纯函数**：喂进"还剩多少字节"，吐出"够不够"。测量在调用方
+ *   （`test/env-preflight.mjs`），因为 `statfsSync` 碰的是真实文件系统，
+ *   纯函数才可被反面样本喂。
+ * - **读不到不判红**：`availBytes` 为 `null`（读不到 / 平台不支持 / 字段为 0）
+ *   时返回 `ok: true` 并注明"不据此判定"。**不知道 ≠ 不对** —— 不确定就放行，
+ *   否则会在不认识的文件系统上制造一条总在亮的红灯，而"总在亮的红灯"
+ *   会被人学会忽略（`deploy/check-deploy-drift.mjs` 文件头骂过这个病）。
+ */
+
+/** 单条用例的最大临时写入量（实测）：`test/session-scan.test.mjs` 那条用例
+ *  写 3 条 3 MiB 的行（两条巨行 + 一条正常行）⇒ 约 12 MiB。 */
+export const MEASURED_MAX_CASE_WRITE = 12 * 1024 * 1024;
+
+/**
+ * 前置自检要求的最小可用空间。
+ *
+ * 取"实测用例写入量 × 2 + 8 MiB 机动"＝ 32 MiB，**不是**总容量的百分比：
+ * 百分比在 9.8G 的 tmpfs 上会给出一个和这套测试毫无关系的数，而这里要挡的是
+ * "一条 12 MiB 的用例写不进去"。×2 是因为临时目录可能同时有别的写入方
+ * （本机 `npm test` 之外还跑着 agent 的会话文件）。
+ */
+export const MIN_FREE_BYTES = MEASURED_MAX_CASE_WRITE * 2 + 8 * 1024 * 1024;
+
+const mib = (n) => `${(n / 1048576).toFixed(1)} MiB`;
+
+/**
+ * @param {{ availBytes: number|null, needBytes?: number }} args
+ *   `availBytes` 为 `null` 表示"没测到"（读不到、平台不支持、字段缺）。
+ * @returns {{ ok: boolean, known: boolean, note: string }}
+ */
+export function judgeSpace({ availBytes, needBytes = MIN_FREE_BYTES }) {
+  // `null` / `NaN` 才是"没测到"。**注意 0 不是"没测到"** ——
+  // `statfsSync` 说不出话时会抛（已在测量层转成 null），它若返回 0，
+  // 意思就是"真的一点空间都没有"（实测踩过：把 `<= 0` 一并当"不知道"，
+  // 于是 `bavail` 只剩 712 字节时前置自检放行，接着 17 条用例 ENOSPC 全红）。
+  if (availBytes === null || availBytes === undefined || Number.isNaN(availBytes)) {
+    return { ok: true, known: false, note: '没测到可用空间（读不到或平台不支持）—— 不据此判定' };
+  }
+  if (availBytes >= needBytes) {
+    return { ok: true, known: true, note: `可用 ${mib(availBytes)} ≥ 需要 ${mib(needBytes)}` };
+  }
+  return {
+    ok: false,
+    known: true,
+    note: `可用 ${mib(availBytes)} < 需要 ${mib(needBytes)}`,
+  };
+}

plugins/pi-mail-bridge/package.json

@@ -12,6 +12,6 @@
   },
   "scripts": {
     "start": "node src/index.mjs",
-    "test": "node --test 'test/*.test.mjs'"
+    "test": "node test/env-preflight.mjs && node --test 'test/*.test.mjs'"
   }
 }

plugins/pi-mail-bridge/test/env-guard.test.mjs

@@ -0,0 +1,129 @@
+/**
+ * 「临时目录空间不足必须被说出来，而不是伪装成断言失败」的判据。
+ *
+ * # 缺陷现场（2026-09-14 实测）
+ *
+ * `/tmp` 是 tmpfs，被别人的东西占满，`bavail` 只剩 **0.70 MiB**。此时：
+ *
+ *     not ok 323 - ★巨大的 message 行不进内存也不影响解析
+ *       error: 'ENOSPC: no space left on device, write'
+ *
+ * 那条红的**形状**指向内存（用例名里就写着"不进内存"），真相是环境不足。
+ * 没有这一条判据时，下一个人会去 `session-scan.mjs` 找一个不存在的内存缺陷。
+ *
+ * # 三段判据（缺一段都不算数）
+ *
+ * 1. 纯函数两头都对：够 → 绿；不足 → 红**且说得出差多少**；
+ * 2. 端到端退出码：不足 → `2`（环境问题，与 `deploy/redeploy-plugin.sh` 同义），
+ *    不是 `1`（断言失败）—— 看到 `2` 才知道去查机器而不是查代码；
+ * 3. **反面样本**：喂一个不足的可用空间，判据必须红。
+ *    没有反面样本的判据等于没有判据（仓库既有规矩）。
+ */
+
+import assert from 'node:assert/strict';
+import test from 'node:test';
+import { execFileSync } from 'node:child_process';
+import { readFileSync, statfsSync } from 'node:fs';
+import { fileURLToPath } from 'node:url';
+import { dirname, join } from 'node:path';
+import { tmpdir } from 'node:os';
+
+import { judgeSpace, MIN_FREE_BYTES, MEASURED_MAX_CASE_WRITE } from '../lib/tmp-space.mjs';
+
+const HERE = dirname(fileURLToPath(import.meta.url));
+const PREFLIGHT = join(HERE, 'env-preflight.mjs');
+
+// ─── 1. 纯函数：两头都对 ───────────────────────────────────────
+
+test('空间充足 → 判绿，并报出可用与需要', () => {
+  const v = judgeSpace({ availBytes: MIN_FREE_BYTES + 1 });
+  assert.equal(v.ok, true);
+  assert.equal(v.known, true);
+  assert.match(v.note, /可用/);
+  assert.match(v.note, /需要/);
+});
+
+test('★反面样本：空间不足 → 判红，且说得出差多少', () => {
+  // 实测那个数：0.70 MiB 可用（`/tmp` 满时的真实值）。
+  const v = judgeSpace({ availBytes: 729_088 });
+  assert.equal(v.ok, false, '不足必须判红 —— 这是这条判据存在的理由');
+  assert.equal(v.known, true);
+  assert.match(v.note, /0\.7 MiB/);
+  assert.match(v.note, /32\.0 MiB/);
+});
+
+test('刚好多一点就够、刚好少一点就不够（边界不靠感觉）', () => {
+  assert.equal(judgeSpace({ availBytes: MIN_FREE_BYTES }).ok, true, '≥ 阈值算够');
+  assert.equal(judgeSpace({ availBytes: MIN_FREE_BYTES - 1 }).ok, false, '< 阈值算不够');
+});
+
+test('读不到可用空间 → 不判红（不知道 ≠ 不对）', () => {
+  // 平台不支持 statfs、或字段缺 —— 此时放行。理由见 lib/tmp-space.mjs 头注释：
+  // 在认不出的文件系统上判红，会造出一条总在亮的红灯，人就会学会忽略它。
+  for (const availBytes of [null, undefined, NaN]) {
+    const v = judgeSpace({ availBytes });
+    assert.equal(v.ok, true, `${String(availBytes)} 不该判红`);
+    assert.equal(v.known, false);
+  }
+});
+
+test('★0 字节不是「不知道」，是「真的没有」—— 必须判红', () => {
+  // 这条是实测踩出来的：第一版把 `availBytes <= 0` 一并当"没测到"，
+  // 于是 `bavail` 只剩 712 字节时前置自检**放行**，紧接着 17 条用例 ENOSPC 全红
+  // —— 前置自检装了等于没装。0 是测量结果，不是测量失败。
+  const v = judgeSpace({ availBytes: 0 });
+  assert.equal(v.ok, false, '0 字节必须判红');
+  assert.equal(v.known, true);
+});
+
+test('阈值有据：等于「实测用例最大写入量 × 2 + 机动」，不是总容量的百分比', () => {
+  assert.equal(MEASURED_MAX_CASE_WRITE, 12 * 1024 * 1024, '12 MiB 来自 session-scan 那条用例的写入量');
+  assert.ok(MIN_FREE_BYTES > MEASURED_MAX_CASE_WRITE, '阈值必须大于单条用例的写入量');
+});
+
+// ─── 2. 端到端：退出码与文案 ───────────────────────────────────
+
+/** 跑一次前置脚本，取 { status, stdout, stderr }。失败（非零退出）不抛。 */
+function runPreflight(env) {
+  try {
+    const stdout = execFileSync(process.execPath, [PREFLIGHT], {
+      encoding: 'utf8', env: { ...process.env, ...env },
+    });
+    return { status: 0, stdout, stderr: '' };
+  } catch (e) {
+    return { status: e.status, stdout: e.stdout ?? '', stderr: e.stderr ?? '' };
+  }
+}
+
+test('端到端：空间不足的临时目录 → 退出码 2 且文案说「这是环境不足，不是断言失败」', () => {
+  // 本机 `/tmp` 在写这条判据时恰好是满的（0.70 MiB 可用）。若哪天它被清空了，
+  // 这一条就失去意义 —— 所以**不假设**它仍然满：先用判据自己量一次，
+  // 真的够用就跳过（并说明为什么跳过），绝不让它变成一条"总在亮"或"总在绿"的假判据。
+  const avail = (() => {
+    try {
+      const s = statfsSync(tmpdir());
+      return s.bavail * s.bsize;
+    } catch { return null; }
+  })();
+  if (avail === null || avail >= MIN_FREE_BYTES) {
+    console.log(`     （跳过：本机 ${tmpdir()} 当前可用 ${avail} 字节，已够用，造不出"不足"的真实环境）`);
+    return;
+  }
+
+  const r = runPreflight({ TMPDIR: tmpdir() });
+  assert.equal(r.status, 2, '环境不足必须是 2（环境问题），不是 1（断言失败）');
+  assert.match(r.stderr, /这是环境不足，不是断言失败/);
+  assert.match(r.stderr, /TMPDIR=/);
+});
+
+// ─── 3. 兜底：绕过前置脚本时也不能伪装成内存缺陷 ────────────────
+
+test('直接跑 node --test 绕过前置脚本时，ENOSPC 仍被翻译成环境问题', () => {
+  // 残留缺口（写进注释是必须的）：`node --test 'test/*.test.mjs'` 会绕过
+  // `npm test` 里的前置自检。所以 `session-scan.test.mjs` 里那条用例自己
+  // 也带了一句 ENOSPC 兜底。这里直接对着**那段兜底逻辑的产物**断言：
+  // 在临时目录写不进去时，抛出的错误信息里必须出现"环境"字样。
+  const src = readFileSync(join(HERE, 'session-scan.test.mjs'), 'utf8');
+  assert.match(src, /ENOSPC/, '那条用例必须自己兜底判 ENOSPC');
+  assert.match(src, /环境/, '兜底信息里必须点明是环境问题');
+});

plugins/pi-mail-bridge/test/env-preflight.mjs

@@ -0,0 +1,68 @@
+#!/usr/bin/env node
+/**
+ * 测试前置自检：**临时目录还有空间吗**。
+ *
+ * 名字**不带 `.test.`** —— 所以它不会被 `node --test 'test/*.test.mjs'` 收进去
+ * 当用例跑；它由 `package.json` 的 `test` 脚本**先**跑一次。
+ *
+ * # 它在挡什么
+ *
+ * 2026-09-14 实测：`/tmp` 是 tmpfs，被别的项目/别的 agent 的东西占满，
+ * `bavail` 只剩 0.70 MiB。此时 `npm test` 会红一条
+ * `★巨大的 message 行不进内存也不影响解析`（`ENOSPC`）—— 那条红**长得像内存缺陷**，
+ * 而真相是环境不足。这个脚本把"环境不足"在**跑测试之前**就大声说出来。
+ *
+ * # 退出码约定（与 `deploy/redeploy-plugin.sh` 同一套）
+ *
+ *   0 = 环境够用，继续跑测试
+ *   2 = **环境问题**（不是断言失败）
+ *
+ * 写清 `2` 的意义很关键：CI 或人看到 `1` 会去查代码，看到 `2` 才知道去查机器。
+ */
+
+import { statfsSync } from 'node:fs';
+import { tmpdir } from 'node:os';
+
+import { judgeSpace, MIN_FREE_BYTES } from '../lib/tmp-space.mjs';
+
+/** 测量：进程**实际能写**的字节数。读不到返回 null（交给判据放行）。 */
+function measureAvailBytes(dir) {
+  try {
+    if (typeof statfsSync !== 'function') return null;   // Node < 18.15
+    const s = statfsSync(dir);
+    if (!s || !s.bsize) return null;
+    // 用 `bavail`（非特权进程可用的块数），**不是** `bfree`（含 root 保留块）：
+    // 这里回答的是"我写不写得进去"，不是"机器上空闲多少"。
+    return s.bavail * s.bsize;
+  } catch {
+    return null;                                         // 不知道 ≠ 不对
+  }
+}
+
+const dir = tmpdir();
+const availBytes = measureAvailBytes(dir);
+const verdict = judgeSpace({ availBytes });
+
+if (verdict.ok) {
+  console.log(`[env-preflight] 临时目录 ${dir}：${verdict.note}`);
+  process.exit(0);
+}
+
+console.error(`
+[env-preflight] 环境不足：临时目录写不下，**这不是断言失败**。
+
+  目录      ${dir}
+  可用      ${(availBytes / 1048576).toFixed(1)} MiB
+  需要      ${(MIN_FREE_BYTES / 1048576).toFixed(1)} MiB
+  判定      ${verdict.note}
+
+测试用例会往临时目录写十几 MiB 的文件。空间不够时它报的是 ENOSPC，
+而那看起来像代码缺陷 —— 曾经就是这么误导过一次。
+
+药方（任选其一）：
+  TMPDIR=<有空间的目录> npm test        # 换临时目录，最省事
+  清理 ${dir} 下不属于你的东西之前先问主人   # 别误删别人的缓存
+
+退出码 2 = 环境问题（与 deploy/redeploy-plugin.sh 的 2 同义），不是代码问题。
+`);
+process.exit(2);

plugins/pi-mail-bridge/test/session-scan.test.mjs

@@ -11,7 +11,31 @@ function makeRoot() {
   return mkdtempSync(join(tmpdir(), 'pi-scan-'));
 }
 
-/** 写一条会话文件。lines 是 header 之后的行（对象，会被 JSON 化）。 */
+/** 写一条会话文件。lines 是 header 之后的行（对象，会被 JSON 化）。
+ *
+ * ★ 空间不足时**不要让它伪装成内存缺陷**（2026-09-14 实测的教训）。
+ *
+ * 本文件在 `/tmp` 是满的 tmpfs（`bavail` 只剩 0.70 MiB）时会红一条
+ * `★巨大的 message 行不进内存也不影响解析`，报 `ENOSPC` —— 而那条用例的名字里
+ * 就写着"不进内存"，于是那条红**长得像一个内存缺陷**，让人去 `session-scan.mjs`
+ * 里找一个不存在的东西。
+ *
+ * 正常的挡法在 `test/env-preflight.mjs`（由 `npm test` 先跑，不足时 exit 2）。
+ * 但 `node --test 'test/*.test.mjs'` 会绕过它，所以这里再兜一道：
+ * **ENOSPC 一律翻译成"环境不足"并说清是环境问题** —— 不管套件是怎么被调起来的。
+ */
+function envHint(e) {
+  if (e && (e.code === 'ENOSPC' || /no space left on device/i.test(String(e.message)))) {
+    const err = new Error(
+      `环境不足：临时目录 ${tmpdir()} 写不进去（ENOSPC）—— 这是环境问题，不是内存缺陷。` +
+      '药方：TMPDIR=<有空间的目录> npm test'
+    );
+    err.cause = e;
+    return err;
+  }
+  return e;
+}
+
 function writeSession(root, cwdSlug, fileName, header, lines = []) {
   const dir = join(root, cwdSlug);
   mkdirSync(dir, { recursive: true });
@@ -19,7 +43,11 @@ function writeSession(root, cwdSlug, fileName, header, lines = []) {
   const body = [JSON.stringify({ type: 'session', version: 3, ...header })]
     .concat(lines.map((l) => JSON.stringify(l)))
     .join('\n');
-  writeFileSync(file, `${body}\n`);
+  try {
+    writeFileSync(file, `${body}\n`);
+  } catch (e) {
+    throw envHint(e);
+  }
   return file;
 }