fix(归档): 标已读不得把归档邮件改回 read —— e78888b 的不变量有反向缺口

pi 2026-09-28 复核 e78888b 时指出：EnsureSessionOpen 堵住了「往归档会话里建邮件」，
但 MarkMailRead 能**反向**打破同一个不变量。复核成立。

  POST /api/v1/mail/{id}/read（对归档会话里的一封）
    → GetMailByID（无 status 过滤）→ UserCanAccessSession（只查参与方）
    → UPDATE mails SET status='read' WHERE mail_id=$1   ← 不查 status

实测：mails.status `archived → read`，而 sessions.status 仍是 archived
⇒ 两表分叉，且 readStateFor 返回 'read' 而非 'archived'，
**归档语义在行级被抹掉**。已加 TestMarkReadDoesNotUnarchiveMail，
先确认它在修之前转红（不是改完就绿的装饰）。

同族的批量路径 MarkAllInboxRead 本来就有守卫
（`session_id IN (SELECT ... WHERE status <> 'archived')`，markread_test.go:126
断言了它）—— 缺的只有单封这一处，所以这是漏网而非设计如此。修法与批量那条同形。

★ mail_reads 的 INSERT 刻意**不加**守卫：已读是按读者记的事实，
人确实读过，归档不该改写它。行级那列是「全局可见性」的冗余、mail_reads 是
「谁读过」的事实，两者语义不同 —— 一起挡会把事实也丢掉。

读侧清册仍为 repo.go=13：新增的那 1 处命中在注释里（散文里拼了列名字面量），
改写措辞而不改数字 —— 让数字 +1 会给未来新增读取凭空送出 1 格余量。

server/internal/repo/repo.go

@@ -853,7 +853,23 @@ func MarkMailRead(ctx context.Context, id uuid.UUID, reader string) error {
 		id, reader); err != nil {
 		return err
 	}
-	_, err := db.DB.ExecContext(ctx, `UPDATE mails SET status = 'read' WHERE mail_id = $1`, id)
+	// 冗余列**不得覆盖 archived**（pi 2026-09-28 复核时指出的反向洞）。
+	//
+	// 缺这一格时：对归档会话里的一封调 `POST /api/v1/mail/{id}/read`，
+	// 会把那行从 archived 改成 read，而会话那列仍是 archived
+	// ⇒ 两表分叉，且 `readStateFor` 返回 'read' 而非 'archived'，
+	// **归档语义在行级被抹掉**（实测 archived → read）。
+	//
+	// 批量那条 `MarkAllInboxRead` 本来就有等价守卫
+	// （`session_id IN (SELECT ... WHERE status <> 'archived')`）——
+	// 缺的只有单封这一处，所以这不是设计如此，是漏网。判据：
+	// session_status_invariant_test.go 的 TestMarkReadDoesNotUnarchiveMail。
+	//
+	// 注意上面那条 `INSERT INTO mail_reads` **不加**守卫：已读是按读者记的事实，
+	// 人确实读过，归档不该改写这个事实（行级那列是"全局可见性"的冗余，
+	// mail_reads 是"谁读过"的事实，两者语义不同，不要一起挡）。
+	_, err := db.DB.ExecContext(ctx,
+		`UPDATE mails SET status = 'read' WHERE mail_id = $1 AND status <> 'archived'`, id)
 	return err
 }