refactor(线索树): 回填接口化 —— 数据操作不进结构迁移通道

用户 2026-10-04：「一切数据调用都要接口化」。这条要求直接指向上一轮的两个错误。

## 撤掉的：Migrate 里的自动回填

`Migrate` 是**结构**变更通道（建表、加列）。让��兼做数据改写（给会话写
parent_session_id）是混用通道，后果不是理论上的：

- 不可重跑 —— 上一轮那次回填已经在部署中执行，`app_meta` 标记
  `2026-10-04T02:54:37Z`，**无法通过任何方式重跑或撤销**；
- 不可审计 —— 库上看不出谁在什么时候改的；
- 不可触发 —— 没有接口能主动执行它。

⇒ 移到 admin 端点，与 `DELETE /admin/sessions/{id}`、
`POST /admin/agent-keys` 同一档。

## 加的

    POST /api/v1/admin/sessions/tree/backfill    默认 dry-run，显式 dry_run=0 才写
    GET  /api/v1/admin/sessions/tree/preview     只读

`PreviewSessionParents`（repo 层，只读）是必需的配套：接口化之后**验证本身
也必须走接口**，那么「回填到底会改什么」就得有一条不写任何东西的接口来回答，
否则只剩「先写了再看看对不对」。

## 判据抓到的真 bug：注释说默认 dry-run，代码默认就写

    if v := r.URL.Query().Get("dry_run"); v != "" {   // 参数缺失 → 整个 if 落空
        ...
    }
    n, err := repo.BackfillSessionParents(...)         // ← 直接执行

误点一次 POST 就改了 6 条真实会话的拓扑，且没有任何预览。修成
`dry := true` 起手、只在显式解析出 false 时才写。

## 判据自己假绿了一次（本轮第四次做形状判据）

`TestBackfillDefaultsToDryRun` 初版读源码、数 `AdminPreviewSessionParents`
出现几次。变异 `dry := false`（**正是上面那个 bug**）之后判据**依然全绿** ——
因为 `if dry {…}` 分支在源码里始终存在。

⇒ 改成行为测试：真起 httptest 发一个不带参数的 POST，然后去**库里**看
parent_session_id 有没有被写。重测同一变异，两条断言都红：

    ★ 无参 POST 的响应应表明这是预览，实际：{"dry_run":false,…}
    ★ 无参 POST 就把 parent_session_id 写成了 "31949dc4-…"

同轮修掉判据两次「匹配比语义宽」：`strings.Contains(seg, "UPDATE")`
把 `ORDER BY c.updated_at DESC` 里的 `updated` 当成了写库；
函数边界用 `strings.Index("\nfunc ")` 在「函数是文件最后一个」时落空，
取到全文后把别的函数里的 UPDATE 判成预览写库。

## 尚未验证

树端点只能验到「匿名被正确拒绝（401）」—— **不足以证明树能用**。
缺 admin 凭证，admin 全看 vs 普通用户收窄的差异还没在真数据上跑过。

14 包全绿。

server/cmd/server/main.go

@@ -304,6 +304,13 @@ func main() {
 				//   刻意**不进 MCP 工具面**：调用方是模型，误判一次就是真丢数据。
 				//   Agent 要结束线索走归档（那是不可逆性低得多的操作）。
 				r.Delete("/admin/sessions/{id}", handler.AdminDeleteSession)
+
+				// 会话级线索树回填（2026-10-04）。★ 是接口而非 Migrate 里的
+				//   自动步骤：它改的是**数据**（真实会话拓扑）而不是结构，
+				//   混用迁移通道会导致不可重跑、不可审计、看不出谁改的。
+				//   默认 dry-run，显式 dry_run=0 才写入。
+				r.Post("/admin/sessions/tree/backfill", handler.AdminBackfillSessionParents)
+				r.Get("/admin/sessions/tree/preview", handler.AdminPreviewSessionParents)
 				r.Post("/admin/agent-keys/{id}/bind", handler.BindAgentKey)
 
 				// Agent 发信配额