fix: relay 死循环防护 + DSH 工作区注册修复 + homeagent 工具集补齐 + 三插件 connect_to_server

## relay 死循环防护（两道防线）

### 主防线：免配额只给发往人类的 relay（handler/mail.go）

原设计：relay 走免配额通道（harness 搬运不该算模型自主发信）。
问题：收件方是另一个同样会自动转发的 Agent 时，整个回路里没有任何
一处在计数——生产上跑出过 41 封（会话 f3d824ce），间隔从 15 分钟
缩到 5 秒，且用了 37 封才烧掉 4/20 预算。

改为：repo.IsHumanUser(to.Name) 判定。Agent→Agent 的 relay 照样扣预算。

顺带修次序问题：原来是「先占幂等键再扣预算」，预算耗尽时幂等键
已被占用，加了额度也无法重发。现在预算失败会 ReleaseRelay 还回去。

### 兜底：hop_limit 列接通（repo/relayhops.go）

schema 里早有 hop_limit INT DEFAULT 5，从未有代码读它。
CountTrailingRelayHops 从最新邮件往前扫，遇到第一封非 relay
邮件即停（中间有一封自主发信或人类插话就归零）。

5 测试：空会话 / 只数 relay / 自主发信打断归零 / 达到上限 / 按会话独立

## DSH 工作区注册修复

问题：上一轮加的 workspaceRegistry.create(cwd) 用了兜底值 cwd（来自
resolveWorkspaceCwd，可能是 ~/.dsh/mail-sessions/mail-<uuid>），
而不是会话 header 里的真实 cwd。两者不一致时 attachSession 拒绝，
且 create 已先执行，每封邮件都往注册表里塞一条空的垃圾 workspace。

修复：读 handle.agent.session.header.cwd —— create 路径下是 meta.cwd，
resume 路径下是持久化 header 里那个。

## homeagent 插件：11 工具齐平 opencode

tools.go 新增：read_mail / forward_mail / suggest_address /
list_contacts / session_participants / read_thread / connect_to_server
+ handleConnectToServer（注册到 Gateway 前先用候选坐标试注册，
成功才写回 p.gwURL/p.key，失败不破坏原配置）

关键修：Plugin.name（插件名，homed 注册用）与 Plugin.agentName
（AgentMail 身份，Gateway 密钥绑定用）是两个命名空间。
它们混淆会导致 403：「该密钥已绑定到 Agent 'homeagent'，不能用于
注册 'homeagent-mail-bridge'」。现已分开，并在 systemd drop-in
里显式设 AGENTMAIL_AGENT_NAME=homeagent。

## 三插件补齐 connect_to_server

之前只有 opencode 有。后果：Gateway 换地址或密钥需要重新登记时，
opencode 里的模型能自己修好，其他平台只能干等环境变量被人改。

DSH 版：从 GatewayClient 内部调 register()，成功后写回 client.baseURL
与 client.agentKey 当场生效。

pi 版：新导出 KEY_FILE / saveLocalKey（从 gateway.mjs），connect
工具直接用。

# 测试

relayhops_test.go 5 例
opencode 172 / dsh 188 / pi 214 全绿
check-shared-libs.sh 三方同源（rename-proposal 已纳入校验）

gateway/internal/handler/mail.go

@@ -186,7 +186,44 @@ func SendMail(w http.ResponseWriter, r *http.Request) {
 	}
 
 	var budget repo.SessionBudget
+	// relayFree 表示本次 relay 走免配额通道。
+	//
+	// **免配额只给发往人类的 relay。**
+	//
+	// 豁免的理由是「harness 把平台原生的权限询问与最终总结搬进邮件，
+	// 不该算模型的自主发信」—— 而那是**假定收件方是人**写的。
+	// 收件方是另一个同样会自动转发的 Agent 时，双方都不在做决定，
+	// 整个回路里没有任何一处在计数 —— 生产上跑出过 41 封且间隔从
+	// 15 分钟缩到 5 秒的无穷循环（会话 f3d824ce）。
+	//
+	// 因此 Agent→Agent 的 relay 照样扣会话预算，max_rounds 就能截断它。
+	relayFree := false
 	if relay != "" {
+		human, hErr := repo.IsHumanUser(r.Context(), to.Name)
+		if hErr != nil {
+			Error(w, http.StatusInternalServerError, "Failed to resolve recipient")
+			return
+		}
+		relayFree = human
+	}
+
+	if relay != "" {
+		// 硬上限：一条会话里**连续**的 relay 邮件不得超过上限。
+		//
+		// 与预算无关的第二道防线：预算给得大（比如 200）时，两个 Agent 仍能
+		// 烧掉 200 个来回；而故障报告这类**必须**走 relay 的邮件也需要受约束。
+		//
+		// 「连续」是关键：中间只要有一封自主发信或人类插话，计数就归零。
+		hops, hopErr := repo.CountTrailingRelayHops(r.Context(), sessionID)
+		if hopErr == nil && hops >= repo.MaxRelayHops() {
+			Error(w, http.StatusForbidden, fmt.Sprintf(
+				"本会话已连续 %d 封自动转发（上限 %d）。这通常意味着两个 Agent 在互相"+
+					"唤醒而无人决策。若确实需要继续，请由模型主动调 send_mail（不带 relay），"+
+					"或由人类在会话里插一句话。",
+				hops, repo.MaxRelayHops()))
+			return
+		}
+
 		// 先占幂等键。重复则说明这条上游消息已经转过，
 		// 这是插件重试 / SSE 重放的正常结果，不是故障 —— 幂等地返回成功。
 		if cErr := repo.ClaimRelay(r.Context(), agentName, relayKey, relay); cErr != nil {
@@ -202,7 +239,10 @@ func SendMail(w http.ResponseWriter, r *http.Request) {
 			Error(w, http.StatusInternalServerError, "Failed to claim relay")
 			return
 		}
-		// 仅读快照用于回传，不扣预算
+	}
+
+	if relayFree {
+		// 只读快照用于回传，不扣预算
 		budget, _ = repo.GetSessionBudget(r.Context(), sessionID)
 	} else {
 		// 额度只看【本任务】的往返预算。
@@ -212,6 +252,11 @@ func SendMail(w http.ResponseWriter, r *http.Request) {
 		// 靠的是新建会话速率限制（resolveTarget 里）。
 		budget, err = repo.ConsumeSessionBudget(r.Context(), sessionID)
 		if errors.Is(err, repo.ErrSessionBudgetExhausted) {
+			// 预算耗尽时要把幂等键还回去：否则那条上游消息永远转不出来了，
+			// 之后管理员加了额度也无法重发。
+			if relay != "" {
+				_ = repo.ReleaseRelay(r.Context(), agentName, relayKey)
+			}
 			Error(w, http.StatusForbidden, fmt.Sprintf(
 				"本任务的往返预算已用尽（%d/%d）。自动转发的总结与权限询问不占预算；"+
 					"若需继续主动发信，请让人在对话页调高本任务的预算。",