fix(已读/手势): 读侧也拒绝空读者；mails.status 读者/写者登记成"新增即红"；阈值契约显式选 (b)

pi 2026-09-14 的三条裁定，逐条落地。

1. **§2 读侧守卫**（他只钉了写侧，读侧是另一半，而且更隐蔽）：`reader` 在查询里是**过滤条件**，
   空串不写坏数据也不报错，只会**算出一个错误的数** —— `unreadFor('')` 的
   `NOT EXISTS(... reader_name = '')` 恒真 ⇒ `CountUnread(ctx,"")` 把**所有**邮件算成未读
   （用户看到"全都没读"），`ListInbox(...,"read")` 恒空。
   二选一里选 **①报错**（当前没有任何调用方需要"汇总"语义；选②就要立刻定义"汇总"是什么，
   而那是个还不存在的需求 —— 将来要就新增一个名字里带汇总的函数，别让空串偷偷兼职）。
   `requireReader` 装到 `ListInboxScoped`/`CountUnread`/`CountUnreadInSession`，
   判据两条：空 reader 三个入口都**必须报错**且**不返回数**；正例防止写成"一律拒绝"。
   变异验证：撤掉 `CountUnread` 的守卫 → `CountUnread("") 必须报错，实际返回 0`。

2. **§1 `mails.status` 收口**：先做他要求的第 1 步（枚举读者，他没有 shell）。
   枚举结果：**没有**"零功能读者"那条路 —— 行级值仍会进邮件 JSON（`GetMailByID`、
   `GetThread` 都 select 它），`migrate.go` 的两处是**一次性回填**（正当），
   `unreadFor`/`readStateFor` 只用它判 `archived`（正当，且已注明"不再作为未读判据"）。
   所以走第三步：**登记欠账 + 增量判据**。
   - 「只为兼容保留」**没有**当结语：`mail_status_readers_test.go` 是一张**机器检查的清册**，
     按**文件 + 次数**登记（repo.go 13 / thread.go 1 / migrate.go 4），
     **新增一处读取就红**并强制当场回答"这处合不合规"；写入点同样登记
     （多一处 `UPDATE mails SET status` 就红）。
   - **第一次跑就抓到第二处写入**：`MarkAllInboxReadForSession`（整会话批量已读）里还有一句
     `UPDATE mails SET status='read'`，我原先只看到 `MarkMailRead` 那一处 ——
     这正是"新增即红"的价值：靠人 grep 会漏，靠判据不会。
   - 收口路径（写进判据注释）：行级 `'read'` 迁到 `markReadFor`；
     但在"详情/线程仍返回行级 status"两处读者迁移**之前**不能只删写入
     —— 那会让 JSON 里的 status 永远是 unread，是另一种错误事实。
   变异验证：在已允许的文件里新增一处读取 → 清册对不上，红。

3. **§3 阈值契约显式选 (b)**：不要求数值一致（`40px`/`600ms` 在触摸屏与鼠标、手机与大屏上
   的人体工学合理值天然不同，强行同值会两边都不舒服），契约改钉**语义层**（左滑/右滑=什么、
   边界是否回弹、"快滑"是感知档）。并写清推论：选了 (b) ⇒ **鸿蒙不得引用 WebUI 的三个数**
   （引了就等于偷偷选了 (a)，还是"我抄的那一份"那种）。

server/internal/repo/readstate_test.go

@@ -270,3 +270,35 @@ func TestMarkMailReadRejectsEmptyReader(t *testing.T) {
 		t.Fatalf("正常读者不该被守卫拦下：%v", err)
 	}
 }
+
+/*
+ * ★ 读侧空读者：**必须报错**，不许静默算出一个数（pi 2026-09-14 裁定 §2）。
+ *
+ * 写侧那条守卫挡住了"写入不属于任何人的已读行"；读侧是另一半，而且更隐蔽：
+ * 空串作为**过滤条件**时 `NOT EXISTS(... reader_name = '')` 恒真 ⇒
+ * 所有邮件都被算成未读（用户看到"全都没读"），而 `read` 过滤恒空 ——
+ * 不报错、不留坏数据，只有一个错数字。所以这里两条都要钉：
+ * ① 空 reader 的两个入口都返回错误；② 报错时**不返回任何数**（不是"返回 0 顺带报错"）。
+ */
+func TestReadSideRejectsEmptyReader(t *testing.T) {
+	setupTestDB(t)
+	ctx := context.Background()
+	seedMailTo(t, "alice", "")
+
+	for _, empty := range []string{"", "   "} {
+		if n, err := CountUnread(ctx, empty); err == nil {
+			t.Fatalf("CountUnread(%q) 必须报错，实际返回 %d —— 空读者会静默算出错误的未读数", empty, n)
+		}
+		if _, err := ListInbox(ctx, empty, "all", 50); err == nil {
+			t.Fatalf("ListInbox(%q) 必须报错 —— 空读者是过滤条件，不能兜底", empty)
+		}
+		if n, err := CountUnreadInSession(ctx, empty, uuid.Nil); err == nil {
+			t.Fatalf("CountUnreadInSession(%q) 必须报错，实际返回 %d", empty, n)
+		}
+	}
+
+	// 正例：正常读者照常工作（别把守卫写成"一律拒绝"）
+	if n, err := CountUnread(ctx, "alice"); err != nil || n != 1 {
+		t.Fatalf("正常读者 alice 的未读数应为 1，实际 %d（err=%v）", n, err)
+	}
+}