feat: AgentMail —— 以邮件为统一范式的多智能体协作平台

Go 单二进制网关 + React 前端 + opencode 桥接插件。部署产物是
「一个二进制加一个 .db 文件」：前端经 go:embed 打进二进制，
数据库默认内置 SQLite，systemd 托管。

核心设计
- 三维寻址 name@path.session，按最后一个 . 切分；session 位三态：
  省略=默认会话 / new=强制新建 / 具体别名=必须已存在（否则 404 无法送达）
- 会话别名默认复用 Agent 平台自己的命名机制（opencode 的 slug 与模型生成的
  标题），不在本侧另造一套；人显式定过的别名不被平台同步覆盖
- 对话树不建 tree_nodes 表：parent_mail_id 已完整编码树结构，
  再维护一张表就是第二份真相。用递归 CTE 查，按方向分块加载
- 附件内容存磁盘、按 sha256 内容寻址，数据库只存元数据；天然去重，
  且路径与用户 filename 无关，杜绝 ../ 穿越
- 配额约束的是模型的自主发信，不是 harness 的转发：插件代劳的权限询问与
  最终总结走免配额通道，靠上游消息 id 做幂等键而非计数
- 往返预算下沉到会话（写信时给、对话页里改）+ Agent 全局配额，两层都要过

后端 gateway/
- models/repo/handler/middleware/sse/blob 分层；两方言（SQLite/PostgreSQL）
  共用一份 repo 层 SQL，差异集中在 internal/db
- 多用户认证（bcrypt cost12、登录限速、会话隔离、权限边界）
- 密钥体系：Agent 密钥与用户密钥分表，三种生命周期；登记式密钥让全文
  只从客户端流向服务器一次
- 所有「判断 + 自增」都在同一条 UPDATE 里（配额、预算、one_time 密钥、
  附件挂载），并发下不会刷穿

前端 web/
- 三栏布局、三段式地址补全、权限卡片、密钥面板、配额面板、对话树、附件
- 全站纯 SVG 图标，不使用 emoji
- api/ 即可复用的客户端 SDK：基地址与凭证集中在 api/config.ts

插件 plugins/opencode-mail-bridge/
- 六个工具 + 两类自动转发（permission.ask 钩子接管平台原生权限询问、
  session.idle 时转发本轮总结）

gateway/internal/handler/events.go

@@ -0,0 +1,91 @@
+package handler
+
+import (
+	"net/http"
+
+	"github.com/agentmail/gateway/internal/middleware"
+	"github.com/agentmail/gateway/internal/repo"
+	"github.com/agentmail/gateway/internal/sse"
+)
+
+// GET /api/v1/events/stream
+//
+// 四种凭证，都必须真正验证过身份才能订阅：
+//   Authorization: Bearer <agent_key_token>      → Agent 通道（密钥认证）
+//   X-Agent-Name + X-Agent-Secret                → Agent 通道（旧方式，兼容）
+//   登录 Cookie 或 Bearer <user_key_token>       → 人类用户通道
+//   ?access_token=<token>                        → 浏览器 EventSource 专用回退
+//
+// 注意不能只凭 X-Agent-Name 就分流：那等于任何人报个名字就能读走别人的新邮件通知。
+// query 令牌仅本端点接受（EventSource 无法带自定义头），其余接口一律要求请求头，
+// 因为 URL 里的令牌会进访问日志与 Referer。
+func SSEStream(w http.ResponseWriter, r *http.Request) {
+	agentName, ok := resolveStreamAgent(r)
+	if !ok {
+		Error(w, http.StatusUnauthorized, "凭证无效")
+		return
+	}
+
+	userName := ""
+	if agentName == "" {
+		u := middleware.OptionalUserWithQuery(r)
+		if u == nil {
+			Error(w, http.StatusUnauthorized, "not authenticated")
+			return
+		}
+		userName = u.Username
+	}
+
+	client := sse.Default.AddClient(w, agentName, userName)
+	if client == nil {
+		Error(w, http.StatusInternalServerError, "SSE not supported")
+		return
+	}
+
+	<-r.Context().Done()
+	sse.Default.RemoveClient(client.ID)
+}
+
+// resolveStreamAgent 校验 Agent 侧凭证。
+// 返回 ("", true) 表示这不是 Agent 请求，交给人类用户分支；
+// 返回 ("", false) 表示带了 Agent 凭证但验证失败。
+func resolveStreamAgent(r *http.Request) (string, bool) {
+	// 密钥认证：Bearer 令牌可能是 Agent 密钥，也可能是用户密钥。
+	// 先按 Agent 密钥试，失败就落到人类分支（那里会再按用户密钥试）。
+	token := middleware.BearerToken(r)
+	if token == "" {
+		token = middleware.QueryToken(r) // EventSource 回退
+	}
+	if token != "" {
+		name, err := repo.VerifyAgentKey(r.Context(), token)
+		if err == nil && name != "" {
+			return name, true
+		}
+		return "", true
+	}
+
+	name := r.Header.Get("X-Agent-Name")
+	if name == "" {
+		name = r.URL.Query().Get("agent_name")
+	}
+	if name == "" {
+		return "", true // 非 Agent 请求
+	}
+
+	secret := r.Header.Get("X-Agent-Secret")
+	if secret == "" {
+		return "", false // 报了名字却没给凭证
+	}
+	agent, err := repo.VerifyAgent(r.Context(), name, secret)
+	if err != nil {
+		return "", false
+	}
+	return agent.Name, true
+}
+
+// GET /api/v1/events/status
+func SSEStatus(w http.ResponseWriter, r *http.Request) {
+	JSON(w, http.StatusOK, map[string]interface{}{
+		"connected_clients": sse.Default.ClientCount(),
+	})
+}