fix(已读/手势): 读侧也拒绝空读者；mails.status 读者/写者登记成"新增即红"；阈值契约显式选 (b)

pi 2026-09-14 的三条裁定，逐条落地。

1. **§2 读侧守卫**（他只钉了写侧，读侧是另一半，而且更隐蔽）：`reader` 在查询里是**过滤条件**，
   空串不写坏数据也不报错，只会**算出一个错误的数** —— `unreadFor('')` 的
   `NOT EXISTS(... reader_name = '')` 恒真 ⇒ `CountUnread(ctx,"")` 把**所有**邮件算成未读
   （用户看到"全都没读"），`ListInbox(...,"read")` 恒空。
   二选一里选 **①报错**（当前没有任何调用方需要"汇总"语义；选②就要立刻定义"汇总"是什么，
   而那是个还不存在的需求 —— 将来要就新增一个名字里带汇总的函数，别让空串偷偷兼职）。
   `requireReader` 装到 `ListInboxScoped`/`CountUnread`/`CountUnreadInSession`，
   判据两条：空 reader 三个入口都**必须报错**且**不返回数**；正例防止写成"一律拒绝"。
   变异验证：撤掉 `CountUnread` 的守卫 → `CountUnread("") 必须报错，实际返回 0`。

2. **§1 `mails.status` 收口**：先做他要求的第 1 步（枚举读者，他没有 shell）。
   枚举结果：**没有**"零功能读者"那条路 —— 行级值仍会进邮件 JSON（`GetMailByID`、
   `GetThread` 都 select 它），`migrate.go` 的两处是**一次性回填**（正当），
   `unreadFor`/`readStateFor` 只用它判 `archived`（正当，且已注明"不再作为未读判据"）。
   所以走第三步：**登记欠账 + 增量判据**。
   - 「只为兼容保留」**没有**当结语：`mail_status_readers_test.go` 是一张**机器检查的清册**，
     按**文件 + 次数**登记（repo.go 13 / thread.go 1 / migrate.go 4），
     **新增一处读取就红**并强制当场回答"这处合不合规"；写入点同样登记
     （多一处 `UPDATE mails SET status` 就红）。
   - **第一次跑就抓到第二处写入**：`MarkAllInboxReadForSession`（整会话批量已读）里还有一句
     `UPDATE mails SET status='read'`，我原先只看到 `MarkMailRead` 那一处 ——
     这正是"新增即红"的价值：靠人 grep 会漏，靠判据不会。
   - 收口路径（写进判据注释）：行级 `'read'` 迁到 `markReadFor`；
     但在"详情/线程仍返回行级 status"两处读者迁移**之前**不能只删写入
     —— 那会让 JSON 里的 status 永远是 unread，是另一种错误事实。
   变异验证：在已允许的文件里新增一处读取 → 清册对不上，红。

3. **§3 阈值契约显式选 (b)**：不要求数值一致（`40px`/`600ms` 在触摸屏与鼠标、手机与大屏上
   的人体工学合理值天然不同，强行同值会两边都不舒服），契约改钉**语义层**（左滑/右滑=什么、
   边界是否回弹、"快滑"是感知档）。并写清推论：选了 (b) ⇒ **鸿蒙不得引用 WebUI 的三个数**
   （引了就等于偷偷选了 (a)，还是"我抄的那一份"那种）。

server/internal/repo/repo.go

@@ -462,6 +462,27 @@ func GetMailByID(ctx context.Context, id uuid.UUID) (*models.Mail, error) {
 下列两个片段把这件事收在一处，避免每条 SQL 各写一遍判据（写岔了就是又一次语义漂移）。
 */
 
+/*
+ * requireReader：**读侧**的同一条规则（pi 2026-09-14 裁定 §2）。
+ *
+ * 写侧加了"空 reader 必须报错"之后，读侧仍然是洞 —— 而且更隐蔽：`reader` 在查询里是
+ * **过滤条件**，空串不会写坏数据、也不会报错，只会**算出一个错误的数**：
+ * `unreadFor('')` 的 `NOT EXISTS(... reader_name = '')` 恒真 ⇒ 于是
+ * `CountUnread(ctx, "")` 把**所有**邮件都算成未读（用户看到的是"全都没读"），
+ * 而 `ListInbox(ctx, "", "read")` 恒空。没有异常、没有坏数据，只有一个错数字。
+ *
+ * 二选一（pi 要求显式定，不许落在"没人知道"）：① 报错；② 明确定义"空 reader = 汇总裁剪语义"并钉住。
+ * 这里选 **①报错** —— 因为当前没有任何调用方需要"汇总"语义（HTTP 层传的都是登录用户名），
+ * 而②会立刻需要一条判据去定义"汇总"到底是什么意思（那是一个还没有需求的功能）。
+ * 将来真需要汇总，就新增一个**名字里带汇总**的函数，而不是让空串偷偷兼职。
+ */
+func requireReader(reader string) error {
+	if strings.TrimSpace(reader) == "" {
+		return fmt.Errorf("reader 不能为空：未读/已读是**按读者**算的，空读者会静默算出一个错误的数")
+	}
+	return nil
+}
+
 // unreadFor 返回"$n 这个读者看这封邮件是未读"的谓词；`m` 必须是 mails 的别名。
 func unreadFor(arg string) string {
 	return `(m.status <> 'archived' AND NOT EXISTS (
@@ -536,6 +557,9 @@ func ListInbox(ctx context.Context, agentName, status string, limit int) ([]mode
 
 // ListInboxScoped 与 ListInbox 相同，但 `sessionID` 非零时只列该会话的邮件。
 func ListInboxScoped(ctx context.Context, agentName, status string, limit int, sessionID uuid.UUID) ([]models.Mail, error) {
+	if err := requireReader(agentName); err != nil {
+		return nil, err
+	}
 	q := `SELECT m.mail_id, m.session_id, m.parent_mail_id,
 	             m.from_name, m.from_workspace, m.to_name, m.to_workspace,
 	             m.cc_list, m.subject, m.body, m.mail_type, COALESCE(m.permission_result,'') AS permission_result,
@@ -618,6 +642,9 @@ func ListInboxScoped(ctx context.Context, agentName, status string, limit int, s
 }
 
 func CountUnread(ctx context.Context, agentName string) (int, error) {
+	if err := requireReader(agentName); err != nil {
+		return 0, err
+	}
 	var count int
 	err := db.DB.QueryRowContext(ctx, `
 		SELECT COUNT(*)
@@ -1474,6 +1501,9 @@ func ListSessionsFor(ctx context.Context, forUser string, limit int) ([]models.S
 
 // CountUnreadInSession 统计某人在某会话内的未读数（含被抄送）
 func CountUnreadInSession(ctx context.Context, name string, sessionID uuid.UUID) (int, error) {
+	if err := requireReader(name); err != nil {
+		return 0, err
+	}
 	var n int
 	// 抄送判定必须走 db.CCHas：这条路原先写的是 PG 专有的 `cc_list @> $3::jsonb`，
 	// 而**线上是 SQLite** —— 那条 SQL 直接语法错误（unrecognized token: "@"），