Agent 删除：后端 DELETE /admin/agents/{name} + 名字退役保护

## 新增端点

DELETE /api/v1/admin/agents/{name} → 清 Agent 全部运行态，保留邮件历史。

删除范围（事务原子）：
- agent_keys（全部撤销，计数回传）
- agent_platform_sessions（清镜像）
- agent_allowed_models / agent_model_catalog（模型范围）
- rate_limits（速率限制计数器）
- calendar_events（置 cancelled，不触发、不空转）
- agents 行本身

保留范围（审计凭据，不删）：
- mails（历史邮件）
- sessions（线索与邮件一起组成线索）

内置管理员 jianf 不可删（二次保险）。

## 名字退役保护

`IsRetiredAgentName`：agents 表里没有 + mails 表里有引用 = 已退役。

注册路径（RegisterAgent）+ 密钥登记路径（CreateAgentKey）两处都拦。
后者原来会级联建 agents 行，绕过注册检查——现在名字退役时
CreateAgentKey 也返回 409。

## 错误信息

`writeKeyErr` 加 `strings.Contains(err, "已退役")` 分支，返回 409
而不是通用的「密钥操作失败」。

## 前端

QuotaPanel：每个 Agent 行右侧加「删除」按钮，二次确认里
明确说明「邮件保留，此名不可再用」。恢复与删除共用一套
confirming 状态，通过 confirmAction 区分。

## 测试

gateway build + vet + go test 全绿（预存农历 bug 不是本轮引入）。
生产验证：remotebot 删除后数据库四张表清空、-mails 保留；
同名建密钥被 409 拦截；jianf 删除被 403 拒绝。

gateway/internal/handler/agents.go

@@ -102,6 +102,15 @@ func RegisterAgent(w http.ResponseWriter, r *http.Request) {
 		return
 	}
 
+	// 已退役的名字不可重建 —— 历史邮件的署名由此不会被冒用
+	if retired, err := repo.IsRetiredAgentName(r.Context(), req.Name); err != nil {
+		Error(w, http.StatusInternalServerError, "Failed to check agent name")
+		return
+	} else if retired {
+		Error(w, http.StatusConflict, "该名字已退役，不可重建（历史邮件署名保护）")
+		return
+	}
+
 	// 密钥认证时不需要 secret，但 agents.secret 非空约束仍在；
 	// 存密钥本身作占位，旧的 name/secret 路径不受影响。
 	secret := req.Secret
@@ -274,3 +283,42 @@ func AdminSetAgentStatus(w http.ResponseWriter, r *http.Request) {
 	}
 	JSON(w, http.StatusOK, resp)
 }
+
+// DELETE /api/v1/admin/agents/{name}
+//
+// 删除 Agent 的全部运行态，保留邮件历史。
+//
+// 取舍（见 PLUGIN-CONTRACT.md）：
+//   - 不做彻底删除（邮件是审计凭据，且 Agent 名与人类用户名共用命名空间）
+//   - 名字立即不可重建（避免同名新注册冒用历史署名）
+//   - 保留的邮件、会话与日历事件不会被级联删除
+func AdminDeleteAgent(w http.ResponseWriter, r *http.Request) {
+	name := strings.TrimSpace(chi.URLParam(r, "name"))
+	if name == "" {
+		Error(w, http.StatusBadRequest, "Missing agent name")
+		return
+	}
+	// 内置管理员不可删
+	if name == "jianf" {
+		Error(w, http.StatusForbidden, "内置管理员不可删除")
+		return
+	}
+
+	keysRevoked, err := repo.DeleteAgent(r.Context(), name)
+	if errors.Is(err, sql.ErrNoRows) {
+		Error(w, http.StatusNotFound, "Agent 不存在: "+name)
+		return
+	}
+	if err != nil {
+		Error(w, http.StatusInternalServerError, "Failed to delete agent")
+		return
+	}
+
+	JSON(w, http.StatusOK, map[string]any{
+		"agent_name":  name,
+		"keys_revoked": keysRevoked,
+		"detail": "已删除。邮件、会话与日历事件已保留；" +
+			"密钥与平台会话镜像已清除。" +
+			"此名字今后不可再注册（历史邮件的署名由此不会被冒用）。",
+	})
+}

gateway/internal/handler/helpers.go

@@ -136,8 +136,12 @@ func writeKeyErr(w http.ResponseWriter, err error) {
 	case errors.Is(err, repo.ErrKeyTokenTaken):
 		Error(w, http.StatusConflict, "该密钥已登记过")
 	default:
-		Error(w, http.StatusInternalServerError, "密钥操作失败")
-	}
+		if strings.Contains(err.Error(), "已退役") {
+			Error(w, http.StatusConflict, err.Error())
+		} else {
+			Error(w, http.StatusInternalServerError, "密钥操作失败")
+		}
+}
 }
 
 // validateSessionAlias 校验会话别名是否可安全出现在三维地址 name@path.<alias> 的末段。