feat(permission): 新增第三种强制力 partial —— DSH 如实自报，不再冒充 native

# 问题

审计发现 DSH 自报 mode_enforcement=native，而实测它的 Landlock 沙箱受内核 ABI
版本限制、拦截覆盖不完整（PLAN.md L5 自己写的就是 dsh = Landlock partial）。

只有 native / advisory 两个取值时，这个平台无论标哪个都是在说假话：
  - 标 native → 人会以为 plan 档是硬保证，把它当安全边界依赖；
  - 标 advisory → 又低估了它（确实在拦），而「平台无法强制」会让模型
    在本可依赖的边界上过度保守。
多一个取值比多说一句假话便宜。

# 改动

- Go models：EnforcementPartial = "partial"，ValidEnforcement 接受它；
  NormalizeEnforcement 对显式自报值一律原样保留（partial 降级到任一极端都是假话），
  未知值仍然 fail-closed 到 advisory。
- 三桥共用 lib/permission-mode.js（逐字节同源）：ENFORCE_PARTIAL +
  modeBriefing 三态措辞。partial 版必须同时做到两件事：
  说清「覆盖不完整」，并收回 native 那句「都会被平台拦下」的承诺
  —— 否则模型会以为越界一定被拦，于是不必自己小心。
- 前端 PermissionChip：三个点形区分（实心 / 靶心 / 空心）+ 三套 tooltip 文案；
  认不出的强制力按 advisory（与后端同方向）。
- DSH 插件心跳改报 partial。
- 顺带修正活跃 DSH 会话的历史快照：那批 native 是插件当时的**误报**，
  不是能力变化，因此把 status<>'archived' 的 dsh 会话改为 partial；
  归档会话按设计保留（不重写已结束的历史）。改前已 sqlite3 .backup 备份。

# 验证

- agents.mode_enforcement：dsh 由 native 变为 partial（心跳生效）
- Go 全量、三桥插件 320/362/409、前端 196 全绿（新增 PermissionChip 11 例）
- 三桥共用模块同源校验通过
- 关键判据：partial 的措辞与 native/advisory 两两不同，且不含「无法强制」

plugins/opencode-mail-bridge/test/permission-mode.test.mjs

@@ -10,7 +10,7 @@ import assert from 'node:assert/strict';
 
 import {
   MODE_PLAN, MODE_WORKSPACE, MODE_FULL, MODES, DEFAULT_MODE,
-  ENFORCE_NATIVE, ENFORCE_ADVISORY,
+  ENFORCE_NATIVE, ENFORCE_PARTIAL, ENFORCE_ADVISORY,
   normalizeMode, normalizeEnforcement, modeAtMost, modeNeedsHuman,
   opencodePermissions, dshSandboxMode, dshApprovalPolicy,
   piGuardedTools, piBlocksOutright, modeBriefing,
@@ -30,8 +30,9 @@ test('非法档位 fail-closed 到默认档，不是 full', () => {
 });
 
 test('强制力保守方向是 advisory', () => {
-  assert.equal(normalizeEnforcement(ENFORCE_NATIVE), ENFORCE_NATIVE);
-  assert.equal(normalizeEnforcement(ENFORCE_ADVISORY), ENFORCE_ADVISORY);
+  for (const ok of [ENFORCE_NATIVE, ENFORCE_PARTIAL, ENFORCE_ADVISORY]) {
+    assert.equal(normalizeEnforcement(ok), ok, `${ok} 是平台自报的事实，必须原样保留`);
+  }
   for (const bad of ['', 'NATIVE', 'enforced', null, undefined]) {
     assert.equal(normalizeEnforcement(bad), ENFORCE_ADVISORY);
   }
@@ -244,3 +245,39 @@ test('脏输入不炸且按默认档', () => {
   assert.match(s, /workspace/);
   assert.match(s, /无法强制/, '脏强制力按 advisory 处理');
 });
+
+// ─── partial：有拦截点但覆盖不完整 ───
+//
+// 这个取值的全部意义就是「不许说假话」。因此判据不是「措辞好看」，
+// 而是它与两个极端的说法**都不同**，且明确交代「不要依赖会被拦」。
+test('partial 三档措辞两两不同（不能与任一极端混同）', () => {
+  for (const mode of [MODE_PLAN, MODE_WORKSPACE]) {
+    const nat = modeBriefing({ mode, enforcement: ENFORCE_NATIVE });
+    const par = modeBriefing({ mode, enforcement: ENFORCE_PARTIAL });
+    const adv = modeBriefing({ mode, enforcement: ENFORCE_ADVISORY });
+    assert.notEqual(par, nat, `${mode}: partial 不能与 native 同措辞（那是高估）`);
+    assert.notEqual(par, adv, `${mode}: partial 不能与 advisory 同措辞（那是低估）`);
+  }
+});
+
+test('partial 必须交代「覆盖不完整」且不得说「无法强制」', () => {
+  for (const mode of [MODE_PLAN, MODE_WORKSPACE]) {
+    const par = modeBriefing({ mode, enforcement: ENFORCE_PARTIAL });
+    assert.match(par, /不完整|缺口/, `${mode}: 必须说清覆盖不完整`);
+    assert.equal(/无法强制/.test(par), false,
+      `${mode}: partial 平台确实在拦，「无法强制」是错的`);
+  }
+});
+
+test('partial 不能把「会被拦下」当成保证', () => {
+  const plan = modeBriefing({ mode: MODE_PLAN, enforcement: ENFORCE_PARTIAL });
+  // native 版说「都会被平台拦下」，partial 版必须收回这个承诺
+  assert.equal(/都会被平台拦下/.test(plan), false,
+    'partial 下承诺「都会拦下」会让模型不必自己小心 —— 那是 native 才成立的话');
+  assert.match(plan, /不要依赖|主动/, '必须给出「主动自律」的指引');
+});
+
+test('partial 与 native 一样要求把方案写在回信里（出路不能消失）', () => {
+  const s = modeBriefing({ mode: MODE_PLAN, enforcement: ENFORCE_PARTIAL });
+  assert.match(s, /回信/);
+});