fix(auth): 工作区成为读权限的边界 —— Agent 侧读端点按会话工作区收窄

用户报的：「agentmail 工作区的邮件会话被 trueagent 工作区的 agent 看到了，
还需要我亲自去解释。」

## 根因不是漏了一个 WHERE，是隔离单位选错了

Agent 注册时 `workspaces` 是空的（B-1.2：cwd 由每封邮件的 `to_workspace` 决定），
所以**一个 Agent 同时服务所有工作区**。而可见性判据一直是
`AgentCanAccessSession(agentName, sid)` = "这个 Agent 名出现在这条会话的 from/to/cc 里"
—— 于是同一个 agent `pi`，在 TrueAgent 里干活的 worker 眼里，对 agentmail 的会话
也成立。

现场证据：`mail_reads` 里 08:11–09:19 有 8 次「同一瞬间读了多个不同工作区的会话」
（08:23:59 一次跨 agentmail / TrueAgent / webui4frpc 三条会话），最后一次是 09:19:11
—— 正好停在 `read_inbox` 按会话收窄那个提交（552fbc7，09:19:25）之前。
更要紧的是 `mail_reads` 只记 `reader_name`、**没有「读的人当时在哪个工作区」这一列**，
所以这类越界读在数据上与正常读**无法区分** —— 这也是为什么只能由用户自己去解释。

## 改法：补一维，而不是逐个端点打补丁

- 新增 `repo.AgentMayReadSession(agentName, scope, target)`：① 参与过（原有判据）
  ② 两条会话的 `workspace` 相同（新增）。`scope` = 调用方当前所在的那条会话。
- 服务端只认一条**会话 id**（`?session_id=`），由它反查 workspace ——
  **不接受调用方直接声明工作区**，否则等于让它自己给自己发通行证。
- 应用到四个读端点：`read_mail` / `read_thread` / `session_participants` /
  `list_contacts`，以及 `contacts/suggest` 的**会话候选**（name/path 两段不收窄：
  跨工作区**发信**是设计允许的，被挡的只是"浏览同行的线索"）。
- 未声明 `session_id` 时保留旧语义（放行）并**记警告日志**：迁移要能分步走，
  但"还有谁没接线"必须可观测（另四家桥仍走这条路）。
- pi 桥：五个读工具全部带上自己那条邮件会话 id（由 worker 闭包注入，模型改不了）。

## 顺手修掉一个真 bug

联系人查询的未读计数子查询里一直有 `r.reader_name = $1`，而原写法是
"forUser 为空就不传参" ⇒ $1 悬空：Postgres 直接报 `no parameter $1`，
SQLite 把 `= $1` 当 `= NULL` 比、次次不成立（未读计数静默退化成"全部未归档"）。
管理员 `?all=true` 走的正是这条路。现在 $1 恒传。

## 判据（两侧都验 + 变异）

- repo：同工作区放行 / 跨工作区拒且 reason 分得清 / 没参与过拒 /
  未声明 scope 的旧语义；列表类有反向对照（不带收窄两条都在）；
  建议补全同工作区照常给候选、跨工作区查路径不给、不带收窄会给（对照组）。
- ★ 这条判据我第一版**写错了对照组**：拿 path=wsA 去比 —— 而 path 本来就收窄，
  于是"不带收窄"也只剩一条，判据等于空的。改成拿 path=wsB 比才有区分力。
- 变异 3 处（拿掉工作区判据 / ListContactsInWorkspace 不收窄 /
  SuggestSessionCandidatesInWorkspace 不收窄）⇒ 各自恰好红在对应那条断言。
- pi 桥 14 条：6 个读工具 × 带上/不带 scope 两侧 + worker 闭包 + 自检；
  变异 read_mail 去掉收窄 ⇒ 恰好那一条红。

（工作区是多会话共用的，本次只 add 了 server/ 与 plugins/pi-mail-bridge/ 的 7 个文件。）

server/internal/repo/session_workspace.go

@@ -33,3 +33,53 @@ func SessionWorkspaceOf(ctx context.Context, id uuid.UUID) string {
 	}
 	return ws
 }
+
+// AgentMayReadSession 判「以 `scope` 为当前会话的 Agent 能不能读 `target`」。
+//
+// # 两道独立闸门，缺一不可
+//
+//	① 该 Agent 参与过目标会话（AgentCanAccessSession：出现在 from/to/cc 里）
+//	② 两条会话的 workspace 相同（本函数新增的那道）
+//
+// # 为什么必须补 ②：一个 Agent 同时服务所有工作区
+//
+// Agent 注册时 `workspaces` 是空的（B-1.2：cwd 由每封邮件的 `to_workspace` 决定），
+// 于是 **agent `pi` 既"参与过" agentmail 的会话、也"参与过" TrueAgent 的会话** ——
+// 只靠 ① 时，一个在 TrueAgent 里干活的 worker 能读到 agentmail 的整条线索。
+// 2026-09-14 用户报的正是这个：`mail_reads` 里能看到同一瞬间读了跨三个工作区的
+// 会话（agentmail / TrueAgent / webui4frpc）。当时的读者身份**只有 reader_name，
+// 没有"读的人在哪"** —— 也就是说这类越界读在数据上与正常读无法区分。
+//
+// # 判据取严，且只有一个定义
+//
+// workspace 按字面比较（空字符串 = 空字符串），不相等即拒。刻意**不做**
+// 「workspace 为空时回头从 mails 反推」那套兜底 —— 兜底会让"这条会话到底属于哪个
+// 工作区"有两个来源，而隔离判据最不需要的就是第二个来源。（2026-09-14 实测：
+// 线上 workspace 为空的 6 条会话里，没有一条的邮件带 to_workspace，所以这条
+// 兜底在当前数据上不生效；真出现时应当**拒读并留下一条日志**，而不是悄悄放行。）
+//
+// `scope == nil` 表示调用方**没有声明**自己在哪条会话（尚未接线的桥、脚本、浏览器）。
+// 那是旧语义：放行。它存在的唯一理由是让迁移可以分步走，调用点会记一条警告，
+// 收尾时按日志把还没接线的调用方找全。
+//
+// 返回的 reason 只用于日志与报错文案，不参与判定：
+//
+//	""                允许
+//	"not-participant" 该 Agent 没参与过这条会话
+//	"cross-workspace" 参与了，但两条会话不在同一工作区
+func AgentMayReadSession(ctx context.Context, agentName string, scope *uuid.UUID, target uuid.UUID) (bool, string, error) {
+	participates, err := AgentCanAccessSession(ctx, agentName, target)
+	if err != nil {
+		return false, "", err
+	}
+	if !participates {
+		return false, "not-participant", nil
+	}
+	if scope == nil {
+		return true, "", nil
+	}
+	if SessionWorkspaceOf(ctx, *scope) != SessionWorkspaceOf(ctx, target) {
+		return false, "cross-workspace", nil
+	}
+	return true, "", nil
+}