feat(appearance): 主题与壁纸搬到服务端（账号级）—— 回答"为什么背景存在本地"

用户质问：「为什么背景是保存在本地而不是服务器！」当时的实情是主题与壁纸只写
localStorage：换设备/换浏览器就没了，而且**多账号共用一份**（键是全局常量
`agentmail.background`）—— 同一台机器换账号背景不跟着走。而 localStorage 的 ~5MB
配额也解释了客户端那套"压到 2.4MB 以内"的限制本来就是为本地存储设计的。

现在：**服务端是权威（账号级），本地只是缓存**（首屏秒开、离线可用）。

## 服务端

- 新表 `user_appearance`（两种方言），用**列**而不是 JSON：blob GC 要一眼看出
  "这张图还有没有人用"。
- `/api/v1/me/appearance`：GET / PUT（主题+背景档）/ POST image（multipart）/
  GET image / DELETE image。鉴权同其余 /me/*（cookie 或 Bearer）。
- 图片走**内容寻址的 blob 存储**（与附件同一套），库里只存 sha256；上限 4MB 兜底
  （客户端会先压到 ~2.4MB），只收图片类型（非图片 415 —— 浏览器会把非图片渲染成
  空白，用户只会看到"设置了却没变化"），超限 413 不静默截断。
- ★ **blob GC 的引用源加了这张表**：我在实现前先读了 `SweepUnreferencedBlobs`，
  它只认 attachments / calendar_attachments。漏了这一处，壁纸会在下次 GC 时被当
  孤儿删掉，而库里那行还在 —— 表现为"图 404、设置却显示已设置"。判据同时验了
  壁纸存活**与**孤儿确实被清（否则"还在"可能只是因为 GC 没跑）。

## 客户端

- `lib/appearance.ts`（纯函数：两侧形状换算、data URL→Blob）+ `stores/appearanceSync.ts`
  （pull / push / 去抖订阅 / 账号切换重新拉取）。
- 三条不变量都有判据：拉取以服务端为准；★ **拉取不会再推回去**（否则是自触发回环，
  一次拉取顺带一次 PUT，服务端 updated_at 被无意义刷新）；本地改动会推上去。
- 壁纸**只在换图时上传一次**（几 MB 不该每次 PUT 都跟着走）。
- 降级**必须可见**：未登录/不可达 → `local-only`，推失败 → `pending`，背景设置里
  有徽标与说明（"已同步 / 待同步 / 仅本机"）。静默降级会让人以为已经同步，
  然后在另一台机器上发现没有 —— 正是这次的缺陷。
- 图片用**带认证的 fetch** 取回再转 data URL：`<img src>` 发不出 Bearer，而
  `?token=` 会把密钥写进历史记录与服务端日志（明确不做）。

## 判据

- Go 10 条：往返、★多账号隔离、非法值归一、上传/取回字节一致、非图片 415、
  超限 413、删除、未登录 401（五个端点）、★GC 存活 + 孤儿对照。
- 客户端 10 条：形状换算、image 无图退回 none、越界夹取、拉取生效、
  ★拉取不推送、推送 payload、未登录/500 → local-only、推失败 → pending、
  ★壁纸只上传一次。
- 全量：server 10 包全绿、客户端 249 通过（含打包一致性判据 —— 它先红后绿，
  因为前端改了必须重打安装包，这条护栏是先前特意留下的）。

## 线上验证与交付

- jianf 设置 → 回包 saved=true；**gui-lab 读到自己那份默认值**（隔离生效）；
  gui-lab 上传 67B PNG → 取回 sha256 一致、`has_image=true`；DELETE 后 404。
- 网关已重打（WebUI 内嵌）并部署；Electron 安装包已重打（AppImage + deb）。

遗留：鸿蒙端还没有外观功能（数据已在服务端，将来可直接读）；本地缓存仍在（离线可用）。

server/internal/repo/appearance.go

@@ -0,0 +1,70 @@
+package repo
+
+import (
+	"context"
+	"database/sql"
+	"errors"
+
+	"github.com/agentmail/gateway/internal/db"
+	"github.com/agentmail/gateway/internal/models"
+)
+
+// 用户外观（主题 + 壁纸）的读写。
+//
+// 为什么放服务端：原先主题与壁纸只存在浏览器 localStorage 里，换设备/换浏览器就没了，
+// 而且**多账号共用一份**（键是全局常量）—— 同一台机器换账号背景不跟着走。
+// 语义是**账号级**（跟账号走，不跟设备走）。
+
+// GetAppearance 读某个用户的外观。没有记录时返回**默认值 + false**（不是错误）：
+// 「从没设置过」是正常状态，调用方不该为此处理 404。
+func GetAppearance(ctx context.Context, userID string) (models.Appearance, bool, error) {
+	a := models.DefaultAppearance()
+	var updated sql.NullString
+	err := db.DB.QueryRowContext(ctx, `
+		SELECT theme, bg_kind, bg_preset_id, bg_dim, bg_blur,
+		       image_sha256, image_type, image_bytes, CAST(updated_at AS TEXT)
+		  FROM user_appearance WHERE user_id = $1`, userID).
+		Scan(&a.Theme, &a.BgKind, &a.BgPresetID, &a.BgDim, &a.BgBlur,
+			&a.ImageSHA256, &a.ImageType, &a.ImageBytes, &updated)
+	if errors.Is(err, sql.ErrNoRows) {
+		return models.DefaultAppearance(), false, nil
+	}
+	if err != nil {
+		return models.Appearance{}, false, err
+	}
+	a.UpdatedAt = updated.String
+	return a, true, nil
+}
+
+// UpsertAppearance 写入主题与背景档（不含图片本身，图片见 SetAppearanceImage）。
+func UpsertAppearance(ctx context.Context, userID string, a models.Appearance) error {
+	_, err := db.DB.ExecContext(ctx, `
+		INSERT INTO user_appearance (user_id, theme, bg_kind, bg_preset_id, bg_dim, bg_blur, updated_at)
+		VALUES ($1, $2, $3, $4, $5, $6, NOW())
+		ON CONFLICT (user_id) DO UPDATE SET
+		  theme = $2, bg_kind = $3, bg_preset_id = $4, bg_dim = $5, bg_blur = $6, updated_at = NOW()`,
+		userID, a.Theme, a.BgKind, a.BgPresetID, a.BgDim, a.BgBlur)
+	return err
+}
+
+// SetAppearanceImage 记下这张壁纸（文件已落 blob 存储）。
+func SetAppearanceImage(ctx context.Context, userID, sha256, contentType string, sizeBytes int64) error {
+	_, err := db.DB.ExecContext(ctx, `
+		INSERT INTO user_appearance (user_id, image_sha256, image_type, image_bytes, updated_at)
+		VALUES ($1, $2, $3, $4, NOW())
+		ON CONFLICT (user_id) DO UPDATE SET
+		  image_sha256 = $2, image_type = $3, image_bytes = $4, updated_at = NOW()`,
+		userID, sha256, contentType, sizeBytes)
+	return err
+}
+
+// ClearAppearanceImage 清掉壁纸记录。
+//
+// **不删 blob 文件**：内容寻址意味着同一张图可能被别的记录引用，而且删除是不可逆的
+// —— 交给 SweepUnreferencedBlobs 在确认无人引用后再收（它会读这张表）。
+func ClearAppearanceImage(ctx context.Context, userID string) error {
+	_, err := db.DB.ExecContext(ctx, `
+		UPDATE user_appearance SET image_sha256 = '', image_type = '', image_bytes = 0, updated_at = NOW()
+		 WHERE user_id = $1`, userID)
+	return err
+}

server/internal/repo/attachments.go

@@ -276,6 +276,10 @@ func SweepUnreferencedBlobs(ctx context.Context, blobs BlobLister, minAge time.D
 	for _, q := range []string{
 		`SELECT sha256 FROM attachments`,
 		`SELECT sha256 FROM calendar_attachments`,
+		// 用户壁纸也是 blob 存储里的内容文件。漏掉这一张表，用户的壁纸会在
+		// 下一次 GC 时被当成"没人引用的孤儿"删掉 —— 而库里那行还在，
+		// 表现为"图片 404、设置却显示已设置"（2026-09-14 新增功能时特意先查了 GC）。
+		`SELECT image_sha256 FROM user_appearance WHERE image_sha256 <> ''`,
 	} {
 		rows, qErr := db.DB.QueryContext(ctx, q)
 		if qErr != nil {