fix(pi-bridge): 评审第二轮 —— 判据在健康机器上会退化、"一处覆盖"取决于入口、笔误参数静默放行

pi 读了 `5bc579f` 之后报了两条新的 + 三条小的，全部认下并落地。

## 一、"开关真的被认"那条判据在 /tmp 被清空后失去分辨力

上一版只在"真实测量不足"那个分支里断言（注入大数必须放行）。问题是：
**"不足"正是机器恢复健康后会消失的条件** —— 那天这条判据就退化成"只验
`--measure` 可用"的弱检查，而它守的恰恰是"开关别静默失效"。

两个方向是对偶的、各守一个机器状态，所以改成**按实测分叉、在两个分支里断言相反的方向**：

    真实不足 ⇒ 注入大数必须放行   （开关被忽略则回退测量 ⇒ 2 ≠ 0 ⇒ 红）
    真实充足 ⇒ 注入 0    必须 exit 2（开关被忽略则回退测量 ⇒ 0 ≠ 2 ⇒ 红）

量不到就 `assert.fail` 并说明"无法分叉"—— 不静默跳过（跳过会把"失去分辨力"
伪装成"验过了"）。另把"端到端"那条的两个方向拆明白：只验"不足⇒2"时，
一个恒报不足的坏守卫也能绿。

## 二、"一处覆盖全部写点"成立的前提是"从 main() 进来"

`selfCheck()` 是**导出**的（用途就是被直接调），而兜住那三处裸写的 catch 在
`main()` 里 ⇒ 任何绕过 `main()` 的调用者撞上 ENOSPC 拿到的仍是原始英文堆栈。
**"覆盖范围取决于我以为的入口"正是这一串 bug 的共同病根**，所以把整段包一层
（`body()` + 统一 catch）：与入口无关，`main()` 那个退化为冗余的第二道。
实测：`TMPDIR=/tmp node -e 'import("./deploy/check-deploy-drift.mjs").then(m=>m.selfCheck())'`
现在拿到的是「环境不足…这是环境问题，不是检查器的问题」。

## 三、`--inject-avail=abc` 静默放行（笔误 = 跳过守卫）

`Number('abc')` = NaN ⇒ 判据当"没测到" ⇒ 放行。现在按仓库约定处理：
**非法值 exit 2，未知参数也 exit 2**（`--measure` 少写 `=` 同样炸）。
`null` 仍是合法值（"没测到 ⇒ 放行"是有意的），加了判据把这两个方向都钉住。

## 四、三条小的

- 两份实现（`lib/env-error.mjs` 的 `translateEnvError` 与 `deploy/` 的
  `describeEnvError`）**不去重**，但两边各写一句"为什么不复用"：
  `deploy/` 的独立性比去重值钱（那份文件头整段在讲"服务不该依赖仓库是否存在"）。
  并写明**第三份拷贝出现时再考虑共用**。
- 写点计数口径写进注释：本函数 **6 处写** = `mkdtempSync`×2 + `mk()` 内 ×2
  + 三处裸写。免得与别处"五处"的说法对不上（上一封信里两个实测数字就是这么被误读的）。
- 变异自检的纪律补进 `lib/env-error.mjs` 头注释：**先证明能撤回来再注入变异，
  且还原路径不能依赖被测对象**（那次把备份写进 `/tmp` —— 正是当时被占满的资源，
  备份没写成而变异已覆盖源文件）。现在只对"已在 HEAD 干净提交"的文件做变异，
  还原一律 `git checkout HEAD -- <file>`。

验证：`npm test` **475/475**；`--self-check` 18 条全过；
`TMPDIR=/tmp node deploy/check-deploy-drift.mjs --self-check` ⇒ exit 2 + 人话。

plugins/pi-mail-bridge/test/env-preflight.mjs

@@ -39,6 +39,17 @@ const argOf = (name) => {
   return hit ? hit.slice(name.length + 3) : undefined;
 };
 
+/** 未知参数一律拒绝（exit 2，与"环境/参数问题"同义）。
+ *  静默忽略未知参数会让 `--inject-avail=abc` 这类笔误退化成"没测到 ⇒ 放行" ——
+ *  在这条链上就等于**悄悄跳过守卫**。拼错参数必须炸，不能忍。 */
+const KNOWN = ['--measure', '--inject-avail'];
+for (const a of process.argv.slice(2)) {
+  if (!KNOWN.some((k) => a.startsWith(`${k}=`))) {
+    console.error(`[env-preflight] 不认识这个参数：${a}\n用法：--measure=<dir> | --inject-avail=<字节数|null>`);
+    process.exit(2);
+  }
+}
+
 const measureDir = argOf('measure');
 if (measureDir !== undefined) {
   console.log(JSON.stringify({ dir: measureDir, availBytes: measureAvailBytes(measureDir) }));
@@ -47,9 +58,20 @@ if (measureDir !== undefined) {
 
 const injected = argOf('inject-avail');
 const dir = tmpdir();
-const availBytes = injected === undefined
-  ? measureAvailBytes(dir)
-  : (injected === 'null' ? null : Number(injected));
+let availBytes;
+if (injected === undefined) {
+  availBytes = measureAvailBytes(dir);
+} else if (injected === 'null') {
+  availBytes = null;
+} else {
+  availBytes = Number(injected);
+  // `Number('abc')` = NaN ⇒ 判据会当成"没测到"而**放行**。笔误在这条链上等于跳过守卫，
+  // 所以非法值按参数错误处理（exit 2），不给它静默放行的机会。
+  if (!Number.isFinite(availBytes) || availBytes < 0) {
+    console.error(`[env-preflight] --inject-avail 的值不合法：${injected}（要字节数或 null）`);
+    process.exit(2);
+  }
+}
 const verdict = judgeSpace({ availBytes });
 
 if (verdict.ok) {