feat: 权限档位体系（三档 plan/workspace/full + 四桥 from_session_id）

L2 核心改动：sessions 表补 permission_mode / permission_enforcement 两列
（sqlite + pg 同步），三桥 lib/permission-mode.js 翻译档位到平台原生配置，
homeagent advisory 模式提示词告知模型实际强制力。四桥全部携带 from_session_id
供 relay 去重与会话回溯。

FromHuman / ToHuman 判据已加入心跳 payload 与 notify/mail.go。

gateway/internal/db/migrations/init.sql

@@ -94,6 +94,22 @@ ALTER TABLE sessions ADD COLUMN IF NOT EXISTS alias_source TEXT NOT NULL DEFAULT
 ALTER TABLE sessions ADD COLUMN IF NOT EXISTS max_rounds  INTEGER NOT NULL DEFAULT 0;
 ALTER TABLE sessions ADD COLUMN IF NOT EXISTS used_rounds INTEGER NOT NULL DEFAULT 0;
 
+-- 会话级权限档位（plan / workspace / full）。
+--
+-- 旧库默认 'workspace' 而不是 'full'：已在进行的会话大多是「在这个目录里干活」，
+-- 给 workspace 与它们的实际形态一致。默认 full 则等于给所有历史会话追授全权，
+-- 而「我忘了收紧」与「我确实需要全权」在数据上从此无法区分。
+ALTER TABLE sessions ADD COLUMN IF NOT EXISTS permission_mode TEXT NOT NULL DEFAULT 'workspace';
+
+-- 接收平台实际做到的强制力（native / advisory），由插件心跳自报后落到会话上。
+-- 旧库默认 'advisory'：没自报过的插件，不能替它宣称「档位在这里是被强制的」。
+ALTER TABLE sessions ADD COLUMN IF NOT EXISTS permission_enforcement TEXT NOT NULL DEFAULT 'advisory';
+
+-- Agent 自报的档位强制能力（native / advisory），随心跳更新。
+-- 与 sessions.permission_enforcement 的区别：这里是平台当下的能力，
+-- 那里是某条会话建立时的事实快照 —— 插件升级后能力会变，已结束的会话不该被改写。
+ALTER TABLE agents ADD COLUMN IF NOT EXISTS mode_enforcement TEXT NOT NULL DEFAULT 'advisory';
+
 CREATE INDEX IF NOT EXISTS idx_sessions_owner ON sessions(owner_user_id);
 
 -- Mails table