feat: 权限档位体系（三档 plan/workspace/full + 四桥 from_session_id）

L2 核心改动：sessions 表补 permission_mode / permission_enforcement 两列
（sqlite + pg 同步），三桥 lib/permission-mode.js 翻译档位到平台原生配置，
homeagent advisory 模式提示词告知模型实际强制力。四桥全部携带 from_session_id
供 relay 去重与会话回溯。

FromHuman / ToHuman 判据已加入心跳 payload 与 notify/mail.go。

gateway/internal/db/migrate.go

@@ -95,6 +95,21 @@ var sqliteAddColumns = []struct{ table, column, ddl string }{
 	// 旧库也给 20：之前的 max_rounds 默认是 10 但那是终身额度，语义不同，
 	// 不能直接搬过来当单任务预算。
 	{"agents", "default_rounds", "ALTER TABLE agents ADD COLUMN default_rounds INTEGER NOT NULL DEFAULT 20"},
+	// 会话级权限档位（plan / workspace / full）。
+	//
+	// 旧库默认 'workspace' 而不是 'full'：已在进行的会话大多是「在这个目录里干活」，
+	// 给 workspace 与它们的实际形态一致。默认 full 则等于给所有历史会话追授全权，
+	// 而「我忘了收紧」与「我确实需要全权」在数据上从此无法区分。
+	{"sessions", "permission_mode", "ALTER TABLE sessions ADD COLUMN permission_mode TEXT NOT NULL DEFAULT 'workspace'"},
+	// 接收平台实际做到的强制力（native / advisory），由插件心跳自报后落到会话上。
+	//
+	// 旧库默认 'advisory'：没自报过的插件，我们不能替它宣称「档位在这里是被强制的」。
+	// 保守方向是承认做不到，而不是假装做到了。
+	{"sessions", "permission_enforcement", "ALTER TABLE sessions ADD COLUMN permission_enforcement TEXT NOT NULL DEFAULT 'advisory'"},
+	// Agent 自报的档位强制能力（native / advisory），随心跳更新。
+	// 与 sessions.permission_enforcement 的区别：这里是平台的能力，那里是
+	// 某条会话建立时的事实快照 —— 插件升级后能力会变，已结束的会话不该被改写。
+	{"agents", "mode_enforcement", "ALTER TABLE agents ADD COLUMN mode_enforcement TEXT NOT NULL DEFAULT 'advisory'"},
 }
 
 // sqliteAddIndexes 是建表后才能建的索引（依赖上面补的列）。