fix(bridges): 续谈失败静默 + duplicate_relay 静默挂死（两个都是「人那边什么都收不到」）

同一类问题在两个地方：出事的当下看不出来，表现是「信发出去了，然后再无音讯」。

## 1）pi 的续谈失败不回失败信（实测缺口）

模型侧 402（余额不足）时，**新会话**那条路会回一封「处理失败」，而**续谈**那条路
只写日志就 `throw` —— 发件人什么都收不到。邮件驱动的会话没有本地界面可以看，
没有这封信就等于静默挂死。复现条件很普通：往一条**已存在**的会话再发一封信。

修法与邻居一致：续谈失败也回失败信。但**不能复用**共用库的 `renderFailureReport`
——那段文案说「划定范围内的模型全部调用失败」并建议「调整可用模型范围」，
而续谈是**故意不降级**的（换模型＝换会话＝丢掉上下文，而上下文正是发件人指定
这条会话的原因）。照抄等于让人去调一个在这里无效的旋钮，他会去改配置，
然后发现依然失败。新增 `renderResumeFailure`：点明是续谈、附上游错误原文、
建议「确实要换模型就新建一条会话」。

**活体验证**（模型侧仍是 402，失败本身就是测试条件）：发一封进 pi 的已有会话，
5 秒内收到失败信，内容含 402 原文且不再出现「调整模型范围」。

顺带把 pi 里 2 处没 clamp 的 relay_key 收敛（上一轮审计只看了权限键）。

## 2）duplicate_relay：只有 zcode 认，另三桥会等一个永远不会来的决策

网关对重复的 relay_key 回 **HTTP 200 `{status:"duplicate_relay"}` 并提前返回**：
不建请求、不发邮件、**永远不会有人来决策**。zcode 桥认它并当场失败，而
pi/opencode/dsh 把它当成功，接着等 `permission_decision` 事件 —— pi 那句
`await new Promise(...)` 连超时都没有。这是 zcode 上一轮那个缺陷的同类，
只是发生在另三个桥上。

- `lib/relay-key.js`（**共用**，四处逐字节同源）新增 `isDuplicateRelay` /
  `DUPLICATE_RELAY_STATUS`：它长得像成功（200），所以必须单独认；对「发信」
  那一侧重复就该当成功（幂等），但对「等一个决定」那一侧它与故障后果相同。
- pi / opencode / dsh 三桥在权限转发处接上判据并**当场拒绝**
  （各自用自己的拒绝形状：`block: true` / `output.status = "deny"` / `'rejected'`）。
- zcode 里那份本地实现收敛到共用库（同一判据不该有两个定义）。

## 3）新增接线断言（带判据自检）

`test/permission-forward-wiring.test.mjs`（pi/opencode/dsh 三份同一内容）：
纯函数测试对这类缺口天生无能为力（函数是对的，只是没人调用它），所以它读源码
验形态，钉住「判据在、落在权限转发这条路上、给出本桥形状的拒绝」。

三条自检都在写的过程中抓到了我自己的错：
- 第一次 `ROOT` 算错 → 过滤后 0 个桥、循环全不跑而「全绿」→ 加了
  「找不到装着各桥的目录就判红」；
- 顺序判据写成「在文件里最早的 await 之前」，量到了别处的等待 → 三桥全红，
  改成「必须在上报之后」；
- dsh 是**两段式**（`.then` 里抛、`catch` 的 `duplicateRelay` 分支里拒），
  第一版抽取套错了分支 → 永远找不到 `return 'rejected'`。
扰动验证：把 pi 的判据禁用后该条变红，还原即绿（改动前后都核对了字节数）。

而 dsh 那条也暴露了：我把返回形状写成了 opencode 的 `{status:'deny'}`，
**`tsc` 没报错**（返回类型是宽联合），只有对着邻居读才发现 DSH 要的是
`'rejected'` 字符串 + `noteDenial`。

## 4）部署脚本：zcode 分支现在会重启驱动

`redeploy-plugin.sh` 的 zcode 分支只切软链（宿主是 ZCode 应用，不能重启它），
但**驱动是我们自己的 unit** —— 不重启它，进程里跑的还是切换前的代码。
这个由刚写的 `check-deploy-drift.mjs` 当场抓到（它比进程启动时刻与软链切换时刻），
而当时所有其它检查都是绿的。已补上重启并验证。

## 复查

四桥全量 413 / 321 / 370 / 380 全绿；共用库四方同源；部署漂移四项全通过；
四桥真发真收冒烟（dsh/opencode/zcode 正常回信；pi 因模型侧 402 回失败信 ——
这正是上面第 1 条要修的路径）。

另：写这段时踩到一个自伤 —— 用 `npx asar extract-file <asar> dist/index.html`
检查包内容时，它把文件**写进了 cwd**，正好覆盖掉 Vite 的源码模板
`client/electron/index.html`（下次构建会拿被污染的模板去构建）。已还原并重建，
产物哈希与之前一致。要看 asar 内容请用 `@electron/asar` 的 API（返回 Buffer），
别用这个 CLI 子命令。

plugins/opencode-mail-bridge/index.js

@@ -36,7 +36,7 @@ import {
 } from "./lib/relay-dedup.js";
 import { adoptedSessionID, adoptMissingMessage } from "./lib/adopt.js";
 import { autoRelayDecision, replyInstruction, inboundHeadline } from "./lib/relay-policy.js";
-import { clampRelayKey, isPermanentFailure } from "./lib/relay-key.js";
+import { clampRelayKey, isPermanentFailure, isDuplicateRelay } from "./lib/relay-key.js";
 import { BoundedMap, BoundedSet, MAX_TRACKED_MAILS, MAX_TRACKED_SESSIONS } from "./lib/bounded.js";
 import { appendRenameProposal, renameProposalNote } from "./lib/rename-proposal.js";
 import { createSSEClient } from "./lib/sse-client.js";
@@ -1244,7 +1244,11 @@ export default async function mailBridge(input) {
       try {
         // opencode 的权限语义是三态，映射成人类看得懂的选项：
         // 「同意」= once（仅这次），「一直同意」= always（后续同类不再问），「拒绝」= reject
-        await relayPermission({
+        // ★ 幂等命中：网关回 200 `{status:"duplicate_relay"}` 并**提前返回** ——
+        // 没有产生新的询问，也永远不会有人来决策，而这里只等
+        // `permission_decision` 事件。不认它的代价是静默挂死。
+        // 详见 lib/relay-key.js 的 isDuplicateRelay。
+        const accepted = await relayPermission({
           question: input.title || `请求执行 ${input.type}`,
           options: ["同意", "一直同意", "拒绝"],
           context: [
@@ -1256,6 +1260,17 @@ export default async function mailBridge(input) {
           ].filter(Boolean).join("\n"),
           relayKey: clampRelayKey(input.id),
         });
+        if (isDuplicateRelay(accepted)) {
+          console.error(`[mail-bridge] 权限询问被判为重复 ${input.id}，本次没有产生新请求`);
+          pendingPermissions.delete(input.id);
+          output.status = "deny";
+          output.reason = [
+            `这个授权询问之前已经发过一次（key=${clampRelayKey(input.id)}），本次没有产生新的询问。`,
+            "可能原因：插件重启后重放同一轮，或上一次询问已经有人决定过但这个决策没有回到这里。",
+            "请改用不需要授权的方式完成，或在回信里说明需要人工执行哪一步。",
+          ].join("\n");
+          return;
+        }
         console.error(`[mail-bridge] 权限询问已转邮件 ${input.id}（${input.type}）`);
       } catch (e) {
         pendingPermissions.delete(input.id);