fix(权限): 409 的第二种含义是「本档不该问」——四桥都补上；状态写入点不再兜默认档

线上事故（jianf 经 pi 转达）：补投路径漏传 permission_mode，插件拿 undefined 兜了
workspace 档，把 full 档会话写成 workspace-write + ask —— 不是"拦一次"，是一整轮
工具能力降级，且状态留在会话里；随后该会话每次受守卫调用都撞 409。

四件事：

1. **状态写入点不接受默认值**（新增共享 `modeForStateWrite`）：缺字段/脏值 → `null`
   = 不写状态。"默认值可以出现在**决策**里，不可以出现在**状态写入**里。"
   同时保留共享契约的 fail-closed：真读到 workspace 才写 workspace。

2. **409 的两种含义分开处理**。`allowed-once` 只绕过**审批**，改不了**沙箱** ——
   所以 dsh 桥在放行前先把服务端给的权威档位**写回会话**（这也就成了自愈路径：
   已经降级的会话，下一次带档位的 409 会把它修回来）；只认服务端明说的 full，
   plan 与"链上没有人类"照旧 fail closed。

3. **同一处缺陷在 zcode / opencode 也在**（`hooks/permission.mjs` 与 `index.js`
   都把 409 当永久失败拒绝）。我先前在回信里写过"这两个桥不转发权限询问，不需要改"
   —— 那句话是错的，我当时的搜索面只有 `<plugin>/src/*.mjs`。按 pi 的要求把这条
   **否定性事实变成常驻判据**后，它第一次运行就红给我看。四桥现在都有
   「409 + full → 放行」，且**排在永久失败分支之前**（含顺序变异自检）。

4. **共用测试重新同源**：`test/catchup.test.mjs` 从 `153985e` 起就是分叉的
   （我那版把平台专属路径写进了共用文件），而 `deploy/install.sh` 第 24 行会跑
   `check-shared-libs.sh` —— 也就是说**部署一直是红的**，我没跑过那个脚本。
   共用文件只放契约（值/行为），跨平台配对judge 移到平台专属文件，四份逐字节相同。

另外把"判代码 vs 判理由"从记忆变成代码：`test/lib/read.mjs` 提供 `code()/prose()/bytes()`，
判据目录里不得再裸用 `readFileSync`（新判据 `criteria-hygiene` 管，含读取器自检）。

判据证据（每条都做过"能不能红"的变异）：
- 写回去掉 → 红；纠正块挪到普通 409 之后 → 红；状态写入点退回兜默认 → 红；
- zcode/opencode 的放行分支拿掉 → 各自红；共用测试分叉 → check-shared-libs 红。

各套件：dsh 388、pi 443、zcode 387、opencode 333（均经 npm test，含 tsc）；
electron `npm test` 15/15 判据绿 + vitest 266 + typecheck；`check-shared-libs.sh` 退出 0；
Go `go test ./...` 全 ok。

plugins/opencode-mail-bridge/index.js

@@ -1326,6 +1326,26 @@ export default async function mailBridge(input) {
         //
         // deny 的同时把原因带给模型（opencode 把 reason 作为工具报错回去），
         // 它才知道下一步该换什么做法。
+        /*
+         * 409 有**两种**含义，正确反应相反（2026-09-14，与 dsh/pi/zcode 桥同一处缺陷）：
+         * 「这条链上没有人类」→ 拒绝；「**本档根本不该问**」→ 服务端在回包里带
+         * `permission_mode`，是 full 档就应当**放行**（full 档工具调用无需审批）。
+         *
+         * 走到第二种的路径：补投漏传档位（lib/catchup.js，同日已修）→ 本轮按 workspace
+         * 拦下来问人 → 服务端按真实档位回 409 → 旧代码当"无人可问"拒绝，
+         * 一条 full 档会话的工具调用全被自己人拦死。
+         *
+         * **只认服务端明说的 full**；plan 与"无人可问"照旧拒绝（猜宽了就是提权）。
+         * 这个桥没有会话档位旋钮，所以只修这一层。
+         */
+        if (Number(e?.status) === 409 && String(e?.body?.permission_mode || "") === "full") {
+          console.error(
+            `[mail-bridge] 服务端判定本会话为 full 档，放行本次询问（${input.id}）：无需审批`,
+          );
+          output.status = "allow";
+          return;
+        }
+
         if (isPermanentFailure(e)) {
           const b = e?.body || {};
           console.error(

plugins/opencode-mail-bridge/lib/permission-mode.js

@@ -78,6 +78,43 @@ export function normalizeEnforcement(e) {
     : ENFORCE_ADVISORY;
 }
 
+/**
+ * **状态写入点**专用的档位解析：拿不到值就返回 `null`（= 不要写），绝不兜默认档。
+ *
+ * ## 为什么单开一个函数（而不是复用 normalizeMode）
+ *
+ * `normalizeMode` 的语义是「**要一个档位**时怎么收敛」——空/脏值都给默认档。
+ * 那在**决策**里是对的（有个兜底），在**状态写入**里是错的：
+ *
+ * 2026-09-14 的线上事故正是这个形状：补投路径漏传 `permission_mode`，
+ * 插件拿 `undefined` 走默认档，把一条 **full 档会话**写成了 `workspace-write`
+ * —— 沙箱窄了、审批从 never 变 ask，之后每个受守卫的工具调用都去问一次，
+ * 服务端按真实档位回 409，旧代码又当场拒绝。**一次状态写入，毁了整轮的工具能力**。
+ *
+ * 一句话规则（pi 提的）：**默认值可以出现在「决策」里，不可以出现在「状态写入」里**
+ * —— 决策有默认值是兜底，状态写入有默认值是**篡改**。
+ *
+ * 于是分工是：
+ *   - 缺字段（空串 / undefined / 非字符串）→ `null`，调用方**跳过写入**，
+ *     保留上一次由服务端给出的权威值；
+ *   - 有值 → 交给 `normalizeMode` 收敛（脏值仍按共用契约 fail-closed 到默认档，
+ *     与 Gateway 的 `NormalizePermissionMode` 同语义 —— 这里不是"猜"，是同一份契约）。
+ *
+ * 跳过写入会不会 fail-open？**实测过方向的**：DSH 的默认沙箱就是
+ * `workspace-write` + `ask`（见 dsh 客户端 `permissionSelectOf` 的初值），
+ * 所以"新会话 + 缺字段"落到的是与共用契约同一个档，不会更宽；
+ * 而"已有会话 + 缺字段"保留的是服务端先前给的权威值，下一个权威事件
+ * （带档位的邮件 / 409 纠正 / 人在界面改档）会把它修正回来。
+ *
+ * @param {unknown} mode
+ * @returns {string|null} 合法档位；`null` 表示**不要写状态**
+ */
+export function modeForStateWrite(mode) {
+  const m = typeof mode === 'string' ? mode.trim() : '';
+  if (m === '') return null;
+  return normalizeMode(m);
+}
+
 /**
  * 取两个档位里更严的那一个。
  *

plugins/opencode-mail-bridge/test/catchup.test.mjs

@@ -79,3 +79,14 @@ test('seen 传 undefined 时不去重也不报错', () => {
   const got = selectCatchup([mail({ mail_id: 'x' })], undefined);
   assert.deepEqual(got.map(e => e.mail_id), ['x']);
 });
+
+test('★ 补投事件必须带权限档位（漏了就会把 full 档会话误拦）', () => {
+  const ev = mailToEvent(mail({ permission_mode: 'full', permission_enforcement: 'strict' }));
+  assert.equal(ev.permission_mode, 'full', '补投路径不许把档位丢掉');
+  assert.equal(ev.permission_enforcement, 'strict');
+  // 缺字段时给空串：**不猜档位**（猜宽了就是提权），由调用方 `|| 'workspace'` 兜底
+  const bare = mailToEvent(mail());
+  assert.equal(bare.permission_mode, '');
+  assert.equal(bare.permission_enforcement, '');
+  assert.ok(!('permissionMode' in bare), '键名要与 SSE 逐字一致（蛇形），别自造驼峰');
+});

plugins/opencode-mail-bridge/test/permission-mode.test.mjs

@@ -14,6 +14,7 @@ import {
   normalizeMode, normalizeEnforcement, modeAtMost, modeNeedsHuman,
   dshSandboxMode, dshApprovalPolicy,
   piGuardedTools, piBlocksOutright, modeBriefing,
+  modeForStateWrite,
 } from '../lib/permission-mode.js';
 
 // ─── 归一化 ───
@@ -213,3 +214,24 @@ test('partial 与 native 一样要求把方案写在回信里（出路不能消
   const s = modeBriefing({ mode: MODE_PLAN, enforcement: ENFORCE_PARTIAL });
   assert.match(s, /回信/);
 });
+
+// ─── 状态写入点的档位解析（2026-09-14 线上事故的形状）───
+
+test('★ 状态写入点：缺字段 → null（不写），不是默认档', () => {
+  /*
+   * 事故：补投路径漏传 `permission_mode`，插件拿 `undefined` 兜了默认档，
+   * 把一条 **full 档会话**改写成了 workspace-write + ask。后果不是"这一轮被拦一次"
+   * 而是一整轮工具能力降级（沙箱层就拒了），而且状态留在会话里。
+   *
+   * 规则：**默认值可以出现在决策里，不可以出现在状态写入里。**
+   */
+  for (const missing of ['', '   ', undefined, null, 42, {}]) {
+    assert.equal(modeForStateWrite(missing), null,
+      `${JSON.stringify(missing)} 应当返回 null（= 不要写状态），而不是兜一个档`);
+  }
+  // 反面：有值就照共用契约收敛（含脏值 fail-closed 到默认档，与 Gateway 同语义）
+  assert.equal(modeForStateWrite('full'), 'full');
+  assert.equal(modeForStateWrite(' workspace '), 'workspace');
+  assert.equal(modeForStateWrite('danger'), DEFAULT_MODE, '脏值仍按共用契约收敛，但这不是"缺字段"');
+  assert.notEqual(modeForStateWrite(''), DEFAULT_MODE, '缺字段不能等于默认档 —— 那正是事故');
+});