fix(pi-bridge): 夹具移出测试文件（import 它会二次注册整套用例）+ 测试侧写点全部兜住 + 判据不再往 /tmp 留垃圾

pi 复核了探针形状（论证闭合），又报了三条，全部实测成立。

## 一、从测试文件 import 助手 ⇒ 那套用例被**再注册一遍**（最实质）

`env-guard.test.mjs` 曾从 `session-scan.test.mjs` 取 `writeSession`。`node --test`
默认每个文件一个子进程，模块导入是进程内的 ⇒ 那个文件的 16 条用例在 env-guard
的进程里**又注册了一遍**。

实测确认：TAP 里巨行用例（单条往临时目录写 ~12 MiB）出现**两次**
（`ok 87` / `ok 353`），测试总数 475。**判据自己在加倍压 /tmp** —— 而 /tmp 正是
这次事件的主角。修完：459 条，巨行用例 1 次。

修法就是 pi 指的形状，也正是 `translateEnvError` 那次的同一手法：
夹具移到**非测试模块** `lib/session-fixtures.mjs`（可被引用，不被注册进套件）。

## 二、测试侧写点还是裸的

`makeRoot()` 的 `mkdtempSync`、以及 `writeSession` 里在 try **之外**的 `mkdirSync`
（ENOSPC 也可能从这里出来）⇒ 绕过前置脚本时抛的仍是原始英文堆栈，
而"绕过前置也要说人话"正是这套兜底存在的理由。现在整段包一层，与 `selfCheck()`
同一形状：**覆盖范围不取决于"我以为的哪一行"**。

## 三、判据往共享 /tmp 里留垃圾

`writeSession(tmpdir(), '--probe--', …)` / `'--probe2--'` 每跑一次就留两个目录、
且永不清理。现在改用 `os.tmpdir()`（纯字符串，不 statfs）当根：那两条的创建都被
假写打断 ⇒ 目录根本不会建出来 ⇒ 既不读也不写真实临时目录。

## 四、一条新判据替代原来的文本接线检查

守**机制**：解析测试文件里的模块引用（静态 `from` / 动态 `import()` / `require()`），
任何指向另一个 `.test.mjs` 的引用都算违规 —— 注释里提到文件名不算（注释不会注册用例）。

这条判据自己踩了两次，都留在注释里：
  第 1 版 只匹配静态 from ⇒ 漏掉动态导入；
  第 2 版 "文件里出现别的测试文件名" ⇒ 把**注释里的散文引用**也算成违规
          （本仓库有 3 处这样的注释，逼人删掉有用的注释），
          而且**它被自己注释里的示例字面量扫到**。
**过宽和过窄都是坏的** —— 这正是这一串评审反复出现的同一族错误。

验证：`npm test` **459/459**（少了 16 条重复注册）；巨行用例出现 1 次；
`--self-check` 18 条全过；`TMPDIR=/tmp node deploy/check-deploy-drift.mjs --self-check` ⇒ exit 2 + 人话。

plugins/pi-mail-bridge/lib/session-fixtures.mjs

@@ -0,0 +1,61 @@
+/**
+ * 会话文件的测试夹具（**不是测试模块**）。
+ *
+ * # 一、为什么放在 `lib/` 而不是 `test/` 里
+ *
+ * `node --test` 默认**每个文件一个子进程**，但 `import` 是进程内的。所以
+ * `env-guard.test.mjs` 里 `import { writeSession } from './session-scan.test.mjs'`
+ * 会把**整个 `session-scan.test.mjs` 的用例在那个进程里再注册一遍** ——
+ * 2026-09-14 实测确认：巨行用例（单条写 ~12 MiB）在 TAP 里出现**两次**
+ * （`ok 87` 与 `ok 353`），也就是那条用例被跑了两次、往临时目录写了两次。
+ * 这台机器的 `/tmp` 正是被这次事件的主角（tmpfs 满）—— 判据自己加倍压它是自伤。
+ *
+ * 这跟 `translateEnvError` 被抽到 `lib/env-error.mjs` 是同一个手法、同一个理由：
+ * **可被别的模块引用，而不被注册进套件。**
+ *
+ * # 二、写点必须全部被兜住
+ *
+ * `session-scan.test.mjs` 的第一版只把 `writeFileSync` 包在 try 里，
+ * 而 `mkdirSync` 在 try 之外 —— 目录建不出来时（ENOSPC 也可能从这里出来）
+ * 抛的仍是原始英文堆栈。所以这里**整段**包一层，与 `selfCheck()` 那条同一个形状：
+ * **覆盖范围不能取决于"我以为的入口/哪一行"**。
+ *
+ * ENOSPC 一律翻译成"环境不足"（`lib/env-error.mjs`）—— 不管套件是怎么被调起来的
+ * （`npm test` 会先跑 `test/env-preflight.mjs`，但 `node --test 'test/*.test.mjs'`
+ * 会绕过它，那就只剩这一道）。
+ */
+
+import { mkdirSync, writeFileSync } from 'node:fs';
+import { join } from 'node:path';
+
+import { translateEnvError } from './env-error.mjs';
+
+/**
+ * 写一条会话文件。`lines` 是 header 之后的行（对象，会被 JSON 化）。
+ *
+ * `write` 只为测试存在（默认 `writeFileSync`）：让"ENOSPC 被翻译"这件事
+ * 能被**行为**判据验证 —— 喂一个必然 ENOSPC 的假写，而不是去 grep 源码文本
+ * （注释里本来就有 "ENOSPC" 这个词，文本判据会被注释满足）。
+ *
+ * @param {string} root 根目录
+ * @param {string} cwdSlug 该 cwd 的子目录名
+ * @param {string} fileName 文件名
+ * @param {object} header 会话 header
+ * @param {object[]} lines 后续行
+ * @param {(file: string, body: string) => void} [write] 写实现（测试用接缝）
+ * @returns {string} 写出的文件路径
+ */
+export function writeSession(root, cwdSlug, fileName, header, lines = [], write = writeFileSync) {
+  const dir = join(root, cwdSlug);
+  const file = join(dir, fileName);
+  const body = [JSON.stringify({ type: 'session', version: 3, ...header })]
+    .concat(lines.map((l) => JSON.stringify(l)))
+    .join('\n');
+  try {
+    mkdirSync(dir, { recursive: true });
+    write(file, `${body}\n`);
+  } catch (e) {
+    throw translateEnvError(e).error;
+  }
+  return file;
+}

plugins/pi-mail-bridge/test/env-guard.test.mjs

@@ -23,14 +23,14 @@
 import assert from 'node:assert/strict';
 import test from 'node:test';
 import { execFileSync } from 'node:child_process';
-import { readFileSync } from 'node:fs';
+import { readFileSync, readdirSync } from 'node:fs';
 import { fileURLToPath } from 'node:url';
 import { dirname, join } from 'node:path';
 import { tmpdir } from 'node:os';
 
 import { judgeSpace, MIN_FREE_BYTES, MEASURED_MAX_CASE_WRITE, measureAvailBytes } from '../lib/tmp-space.mjs';
 import { translateEnvError } from '../lib/env-error.mjs';
-import { writeSession } from './session-scan.test.mjs';
+import { writeSession } from '../lib/session-fixtures.mjs';
 
 const HERE = dirname(fileURLToPath(import.meta.url));
 const PREFLIGHT = join(HERE, 'env-preflight.mjs');
@@ -193,7 +193,11 @@ test('只有 message 里写着 no space left（没有 code）时也认', () => {
 
 test('接线：writeSession 撞上 ENOSPC 时抛出的必须是翻译过的错（喂假写，不靠机器状态）', () => {
   // 这条是**行为**判据，不是文本判据：直接调被接上的那个函数，喂一个必然 ENOSPC 的
-  // 假写。删掉 `catch { throw translateEnvError(e).error }` 这一段，这条立刻红。
+  // 假写。删掉 `lib/session-fixtures.mjs` 里那段 `translateEnvError(e).error`，这条立刻红。
+  //
+  // ★ 用 `os.tmpdir()`（纯字符串）而不是 `tmpdir()`（会 statfs）当根：
+  //   这里所有创建都被假写打断 ⇒ 目录不会被真正建出来 ⇒ 不需要真临时目录，
+  //   也不会往共享 /tmp 里留东西（pi 评审：判据自己别往被测资源里丢垃圾）。
   const fakeWrite = () => {
     throw Object.assign(new Error('ENOSPC: no space left on device, write'), { code: 'ENOSPC' });
   };
@@ -215,9 +219,32 @@ test('接线：writeSession 撞上 ENOSPC 时抛出的必须是翻译过的错
   );
 });
 
-test('残留缺口写明：绕过前置脚本时仍有一条 ENOSPC 兜底（文本接线检查）', () => {
-  // 保留一条**弱**的接线检查：翻译函数必须真的被 session-scan 的写点用着。
-  // 它比原来那条强的地方是：不再要求注释里出现某个词，而是要求**调用点**存在。
-  const src = readFileSync(join(HERE, 'session-scan.test.mjs'), 'utf8');
-  assert.match(src, /translateEnvError\(e\)\.error/, '写点必须调用翻译函数');
+test('★夹具不在测试文件里（否则引用它会二次注册整个套件）', () => {
+  // 这条替代了原来那条文本接线检查，并且守一个**更实质**的东西：
+  // `env-guard` 曾经从 `session-scan` 那个**测试文件**里取 `writeSession`，
+  // 而 `node --test` 每个文件一个进程、模块导入是进程内的 ⇒
+  // **那个文件的 16 条用例在 env-guard 的进程里又注册了一遍**，包括那条单条写
+  // ~12 MiB 的巨行用例 —— 实测 TAP 里它确实出现两次（`ok 87` / `ok 353`），
+  // 也就是往当时已经满的 /tmp 又多写一份。
+  //
+  // 判据形状：**解析文件里的模块引用**，看它指不指向另一个测试文件。
+  //
+  // 踩过两次，都写在这里免得下一个人重踩：
+  //   第 1 版 只匹配静态 from 子句 ⇒ 漏掉**动态导入**（同样会二次注册，
+  //           只是躲开了静态语法）；
+  //   第 2 版 改成"文件里出现别的测试文件名"⇒ 把**注释里的散文引用**也算成违规
+  //           （本仓库有 3 处这样的注释，包括本条自己的说明）。**过宽和过窄都是坏的** ——
+  //           前者逼人删掉有用的注释，后者漏掉真违规。
+  // 现在只认**真引用**：`from` / `import(` / `require(` 后面跟着的那个字符串。
+  // 注释里提到文件名不算（注释不会让用例注册）。
+  const refRe = /(?:\bfrom\s*|\bimport\s*\(\s*|\brequire\s*\(\s*)['"]\.\/([\w.-]+\.test\.mjs)['"]/g;
+  const offenders = [];
+  for (const f of readdirSync(HERE)) {
+    if (!f.endsWith('.test.mjs')) continue;
+    const src = readFileSync(join(HERE, f), 'utf8');
+    for (const m of src.matchAll(refRe)) {
+      offenders.push(`${f} → ${m[1]}`);
+    }
+  }
+  assert.deepEqual(offenders, [], `测试文件之间不许互相 import（会二次注册整套用例）：${offenders.join('、')}`);
 });

plugins/pi-mail-bridge/test/session-scan.test.mjs

@@ -5,49 +5,15 @@ import { tmpdir } from 'node:os';
 import { join } from 'node:path';
 
 import { createSessionScanner } from '../src/session-scan.mjs';
-import { translateEnvError } from '../lib/env-error.mjs';
+// ★ 夹具在 `lib/`（**不是测试模块**）：从这里 `export` 它会让别人 import 本文件时
+// 把本文件的所有用例在**他们那个进程里再注册一遍** —— 实测巨行用例被跑两次。
+import { writeSession } from '../lib/session-fixtures.mjs';
 
 /** 造一个会话目录树。返回根目录，用完由调用方删。 */
 function makeRoot() {
   return mkdtempSync(join(tmpdir(), 'pi-scan-'));
 }
 
-/** 写一条会话文件。lines 是 header 之后的行（对象，会被 JSON 化）。
- *
- * ★ 空间不足时**不要让它伪装成内存缺陷**（2026-09-14 实测的教训）。
- *
- * 本文件在 `/tmp` 是满的 tmpfs（`bavail` 一度真是 **0**）时会红一条
- * `★巨大的 message 行不进内存也不影响解析`，报 `ENOSPC` —— 而那条用例的名字里
- * 就写着"不进内存"，于是那条红**长得像一个内存缺陷**，让人去 `session-scan.mjs`
- * 里找一个不存在的东西。
- *
- * 正常的挡法在 `test/env-preflight.mjs`（由 `npm test` 先跑，不足时 exit 2）。
- * 但 `node --test 'test/*.test.mjs'` 会绕过它，所以这里再兜一道：
- * **ENOSPC 一律翻译成"环境不足"** —— 不管套件是怎么被调起来的。
- *
- * 翻译逻辑在 `lib/env-error.mjs`（纯函数，`env-guard.test.mjs` 用构造出来的
- * ENOSPC 喂它验行为）。**别把判断写回这里**：写在这里就只能靠"读源码文本"去判，
- * 而本段注释里本来就有 "ENOSPC" 这个词 —— 删掉逻辑只留注释，文本判据照样绿
- * （pi 评审时就是这么指出来的）。
- *
- * `write` 只为测试存在（默认 `writeFileSync`）：让这个接线能被喂一个必然 ENOSPC 的假写，
- * 于是"机制在不在"是**行为**判据而不是文本判据。
- */
-export function writeSession(root, cwdSlug, fileName, header, lines = [], write = writeFileSync) {
-  const dir = join(root, cwdSlug);
-  mkdirSync(dir, { recursive: true });
-  const file = join(dir, fileName);
-  const body = [JSON.stringify({ type: 'session', version: 3, ...header })]
-    .concat(lines.map((l) => JSON.stringify(l)))
-    .join('\n');
-  try {
-    write(file, `${body}\n`);
-  } catch (e) {
-    throw translateEnvError(e).error;
-  }
-  return file;
-}
-
 const msg = (text) => ({
   type: 'message',
   id: Math.random().toString(36).slice(2, 10),