fix(权限): 409 的第二种含义是「本档不该问」——四桥都补上；状态写入点不再兜默认档

线上事故（jianf 经 pi 转达）：补投路径漏传 permission_mode，插件拿 undefined 兜了
workspace 档，把 full 档会话写成 workspace-write + ask —— 不是"拦一次"，是一整轮
工具能力降级，且状态留在会话里；随后该会话每次受守卫调用都撞 409。

四件事：

1. **状态写入点不接受默认值**（新增共享 `modeForStateWrite`）：缺字段/脏值 → `null`
   = 不写状态。"默认值可以出现在**决策**里，不可以出现在**状态写入**里。"
   同时保留共享契约的 fail-closed：真读到 workspace 才写 workspace。

2. **409 的两种含义分开处理**。`allowed-once` 只绕过**审批**，改不了**沙箱** ——
   所以 dsh 桥在放行前先把服务端给的权威档位**写回会话**（这也就成了自愈路径：
   已经降级的会话，下一次带档位的 409 会把它修回来）；只认服务端明说的 full，
   plan 与"链上没有人类"照旧 fail closed。

3. **同一处缺陷在 zcode / opencode 也在**（`hooks/permission.mjs` 与 `index.js`
   都把 409 当永久失败拒绝）。我先前在回信里写过"这两个桥不转发权限询问，不需要改"
   —— 那句话是错的，我当时的搜索面只有 `<plugin>/src/*.mjs`。按 pi 的要求把这条
   **否定性事实变成常驻判据**后，它第一次运行就红给我看。四桥现在都有
   「409 + full → 放行」，且**排在永久失败分支之前**（含顺序变异自检）。

4. **共用测试重新同源**：`test/catchup.test.mjs` 从 `153985e` 起就是分叉的
   （我那版把平台专属路径写进了共用文件），而 `deploy/install.sh` 第 24 行会跑
   `check-shared-libs.sh` —— 也就是说**部署一直是红的**，我没跑过那个脚本。
   共用文件只放契约（值/行为），跨平台配对judge 移到平台专属文件，四份逐字节相同。

另外把"判代码 vs 判理由"从记忆变成代码：`test/lib/read.mjs` 提供 `code()/prose()/bytes()`，
判据目录里不得再裸用 `readFileSync`（新判据 `criteria-hygiene` 管，含读取器自检）。

判据证据（每条都做过"能不能红"的变异）：
- 写回去掉 → 红；纠正块挪到普通 409 之后 → 红；状态写入点退回兜默认 → 红；
- zcode/opencode 的放行分支拿掉 → 各自红；共用测试分叉 → check-shared-libs 红。

各套件：dsh 388、pi 443、zcode 387、opencode 333（均经 npm test，含 tsc）；
electron `npm test` 15/15 判据绿 + vitest 266 + typecheck；`check-shared-libs.sh` 退出 0；
Go `go test ./...` 全 ok。

client/electron/test/harmony-system-api.test.mjs

@@ -14,9 +14,10 @@
  * BlurStyle 的取值则在 `component/common.d.ts` 的 `declare enum BlurStyle` 里。
  * 两边都能离线查 —— 所以"名字写对没有"可以变成构建期判据。
  */
+import { prose } from './lib/read.mjs';
 import { test } from 'node:test';
 import assert from 'node:assert/strict';
-import { existsSync, readFileSync, readdirSync } from 'node:fs';
+import { existsSync, readdirSync } from 'node:fs';
 import { dirname, join } from 'node:path';
 import { fileURLToPath } from 'node:url';
 
@@ -60,7 +61,7 @@ const collectSources = (dir, acc = []) => {
 
 /** SDK 名表：name → type */
 const loadIdTable = () => {
-  const recs = JSON.parse(readFileSync(ID_TABLE, 'utf8')).record;
+  const recs = JSON.parse(prose(ID_TABLE)).record;
   const byName = new Map();
   for (const r of recs) byName.set(r.name, r.type);
   return byName;
@@ -68,7 +69,7 @@ const loadIdTable = () => {
 
 /** SDK 的 BlurStyle 成员 */
 const loadBlurStyleMembers = () => {
-  const src = readFileSync(COMMON_DTS, 'utf8');
+  const src = prose(COMMON_DTS);
   const at = src.indexOf('declare enum BlurStyle');
   assert.ok(at > 0, 'SDK 里应能定位到 declare enum BlurStyle');
   // 枚举体到第一个顶格 `}` 为止；成员形如 `    Thin,` 或 `    COMPONENT_THIN = 6,`
@@ -83,7 +84,7 @@ const loadBlurStyleMembers = () => {
 const scanSysResources = (files) => {
   const found = [];
   for (const f of files) {
-    const src = readFileSync(f, 'utf8').replace(/\/\*[\s\S]*?\*\//g, '').replace(/\/\/[^\n]*/g, '');
+    const src = prose(f).replace(/\/\*[\s\S]*?\*\//g, '').replace(/\/\/[^\n]*/g, '');
     for (const m of src.matchAll(/\$r\(\s*'sys\.([a-z]+)\.([A-Za-z0-9_]+)'/g)) {
       found.push({ file: f.slice(ROOT.length + 1), type: m[1], name: m[2] });
     }
@@ -95,7 +96,7 @@ const scanSysResources = (files) => {
 const scanBlurStyles = (files) => {
   const found = [];
   for (const f of files) {
-    const src = readFileSync(f, 'utf8').replace(/\/\*[\s\S]*?\*\//g, '').replace(/\/\/[^\n]*/g, '');
+    const src = prose(f).replace(/\/\*[\s\S]*?\*\//g, '').replace(/\/\/[^\n]*/g, '');
     for (const m of src.matchAll(/BlurStyle\.([A-Z][A-Z_0-9]*)/g)) {
       found.push({ file: f.slice(ROOT.length + 1), member: m[1] });
     }
@@ -213,7 +214,7 @@ function sdkDtsFiles() {
 function deprecatedGlobalFunctions() {
   const names = new Set();
   for (const f of sdkDtsFiles()) {
-    const src = readFileSync(f, 'utf8');
+    const src = prose(f);
     // 先切出 depth == 0 的片段
     let depth = 0;
     let segStart = 0;
@@ -297,7 +298,7 @@ test('废弃 API：清单**从 SDK 生成**，源码里不得调用（新增一
   }
   const hits = [];
   for (const f of files) {
-    const src = readFileSync(f, 'utf8').replace(/\/\*[\s\S]*?\*\//g, '').replace(/^\s*\/\/.*$/gm, '');
+    const src = prose(f).replace(/\/\*[\s\S]*?\*\//g, '').replace(/^\s*\/\/.*$/gm, '');
     for (const name of deprecated) {
       // 只算**全局调用**：排除成员调用 `x.name(`（`.animateTo(` 是我们要求的新写法）
       const re = new RegExp(`(?<![.\\w])${name}\\s*\\(`, 'g');