docs(debt): 登记「并列失败不得被合并」—— pi a948cdbb 的判据⑤（此前只活在邮件里）

pi 提了一条判据⑤：**同一父信下的两封并列失败报告不得被合并**。我上封（`a792717a`）
已认它该进判据，但**仓库里没有任何地方记着它** —— 只留在邮件里。

## 为什么它必须进登记

```
B 口径（agent, failure-父链根）今天: 98 封 → 92 组、抑制 6
  组内「两个成员共享同一父」的组数 = **0**（我逐组实测；5 个多成员组全是真链式）
⇒ 今天确实不会误合并 —— 但这是**当前数据的性质，不是设计的保证**
```
只要出现「同一封来信被两个不同 agent 各回一封失败报告」，root-keying 就会合并它们，
而那些是**内容各异的并列失败**。★ 这形状**本系统真实发生过**（我复算确认）：
```
d042cc4c: 22 封失败报告、distinct parent = **22**、其中 parent 本身是失败报告的 = **1**
          ⇒ 21 封并列；(agent, 线程根) 口径下塌成 4 组（9/7/5/1）⇒ 一次丢 **18**
```
⇒ 「同级并列」不是边角情况，所以判据要钉的是**机制**、不是"当下恰好成立"。

## 为什么现在建不了

抑制机制**尚未实现**（`grep -c 'suppress|抑制' server/**/*.go` = **0**）⇒ 这条判据此刻
**无对象可测**。所以登记为欠账，到期条件写成 **"失败报告抑制机制落地时"**，
并列出已否掉的修法（①跳过 kind=summary 会豁免它要拦的那类；②仅根 root-keying 正是本条要防的），
免得接手的人重走。

★ 这条的处境正是本会话那个结论的又一例：**一个没有执行者的结论会一直"在讨论"**——
写进登记 + 到期条件，才会让接手的人**必须**遇到它。

验证: `TestDebtLedgerMatchesMeasurement` / `TestDebtSummaryReadsAuthoritativeLedger` 通过；
`debt-visibility.test.mjs` 1/1 通过。

docs/DEBTS.json

@@ -186,6 +186,14 @@
       "where": "服务端 `models.go:254`（`PermissionRequest.ExpiresAt`）/ `repo.go:1617`（`pr.ExpiresAt = models.PermissionDeadline(...)`）；客户端类型两处都缺：`client/electron/src/types/index.ts` 的 `PermissionRequest`、`client/harmony/entry/src/main/ets/model/Models.ets` 的 `PermissionRequest`",
       "kind": "scope",
       "note": "★★ 2026-09-23 发现自己：**服务端返回一个两端客户端都不读的字段**。\n\n`GET /permission/pending` 的回包里 `expires_at` 一定存在（`ExpiresAt time.Time` 且**不带** `omitempty`），服务端在 `ListPendingPermissionsFor` 里用 `models.PermissionDeadline(pr.CreatedAt)` 算出它。而**两端的 `PermissionRequest` 类型都没有声明这个字段** ⇒ 反序列化静默丢掉。\n\n── 这次的教训与 `mail-list-attachment-count` 那次**方向相反、形状相同** ──\n那一次我把「`omitempty` 字段在一封没附件的邮件里缺失」当成了「服务端不返回这个字段」；这一次是**真的两端都没读**，而我一开始又差点写成「鸿蒙落后于 WebUI」——实际是**共同缺口**（WebUI 也没读）。两次都说明：**「两端不一致」与「两端都没做」必须先分清**，否则会去\"对齐\"一个根本不存在的东西。\n\n── 已经做掉的那一半 ──\n鸿蒙侧 2026-09-23 补上了 `expires_at` 并把它接进**待决卡片**的失效告警（`PermissionTab.ets` 的 `isStale`）。所以这条债现在**只剩 WebUI 那一半**：WebUI 的 `PermissionList.tsx:248` 读的是 `mail.permission_expires_at`（**别的字段**，那是 `Mail` 模型上由 `AttachPermissionDeadline` 算出来的，只在 inbox 路径上有），而它自己那份 `PermissionRequest` 同样没有 `expires_at`。\n\n★ 要闭合需先决定：**这个告警归哪条路径**？· 走 inbox（`permission_expires_at`）—— 但 inbox **只给未决策的**（`AttachPermissionDeadline` 的 return），  且 inbox 的 SQL **根本没选** `permission_expires_at`（实测 0 处），  它是在 repo 层算出来贴上去的 ⇒ 要确认它真的出现在回包里；\n· 走 `/permission/pending`（`expires_at`）—— 字段现成、语义清楚，但 WebUI 那边要改类型 + 读它。\n  我倾向后者（数据来源本来就对着\"待决\"这件事）。"
+    },
+    {
+      "id": "failure-suppression-must-not-merge-parallel",
+      "count": 1,
+      "due": "**失败报告抑制机制落地时**必须一并建（当前该机制**尚未实现** —— 服务端 grep `suppress|抑制` = 0，所以这条判据此刻无对象可测）。判据形状: 构造「同一父信下的两封并列失败报告」，断言 `relayed_mails` 里**两行都在**（而不是被 root-keying 压成一行）。",
+      "where": "待建。落点取决于抑制修法落在哪一层（`server/internal/repo/relayhops.go` 的 `CountTrailingRelayHops` 一族 / 发送侧桥）；口径复算工具在 `deploy/recount-relay-counts.sh`",
+      "kind": "scope",
+      "note": "★★ 2026-09-25 pi 提出（`a948cdbb`）、我复核确认并登记。**这条钉的是机制，不是当下恰好成立。**\n\n## 当前为什么「看起来不需要它」\n```\nB 口径（agent, failure-父链根）: 98 封 → 92 组、抑制 **6**\n  组内「两个成员共享同一父」的组数 = **0**（我逐组实测）\n  ⇒ 5 个多成员组**全是真链式**（成员互为父子链），今天确实不会误合并\n```\n★ 但那是**当前数据的性质，不是设计的保证** —— 只要出现「同一封来信被两个不同 agent 各回一封失败报告」（或同一 agent 对同一封回两次），root-keying 就会把它们合并掉，而那些是**内容各异的并列失败**。\n\n## 这形状在本系统**真实发生过**（所以不是假想）\n```\nsession d042cc4c: 22 封失败报告、**22 个 parent 两两不同**\n  (agent, 线程根) 口径 ⇒ 塌成 4 组（9/7/5/1）⇒ 一次**丢 18 封**\n  其中只有 1 个 parent 本身是失败报告 ⇒ **21 封是并列**\n```\n⇒ 「同级并列」不是边角情况。判据② 定稿即按此: **22 封并列失败、（线程根误用下）塌成 4 组、一次丢 18**。\n\n## 与已否掉的修法的关系（避免下一个人重走）\n```\n✗ 修法① 跳过 kind=summary        —— 实测恰好豁免它要拦的那一类（该环 100% summary）\n✗ 修法②（仅根 root-keying）      —— 就是本条要防的那个: 会吞并列\n△ relay_key 前缀判「是否失败报告」—— 诊断成立，但**服务端语义变更**，待人或宿主定\n```\n⇒ 本条不预设修法；它只要求: **无论选哪种，并列失败不得被合并**必须有判据。\n★ 这就是它该进登记而不是只留在邮件里的原因: 一个没有执行者的结论会一直「在讨论」，而登记 + 到期条件会让接手的人**必须**遇到它。"
     }
   ]
 }