feat(trace): M40 span 写侧脱敏 + 共享上游错误收敛 helper

stderr 的 JSONL 是无主人在场的落盘面，却在此前原样落工具结果（result）、
子代理回复（text/summary）与上游报文，等于一次 tail 就能拷走整段对话。
本切片交付两件地基：

1) 写侧脱敏（trace.JSONRecorder）
   - 新增 trace/span_props.go：safePropKeys 白名单与 projectSpanProps 投影，
     读侧（safeSpanProps）与写侧共用同一张表、同一个投影函数；
   - WriteSpan 落盘前经 trace.SanitizeRecord 投影：白名单键清洗，表外键只留
     Digest（bytes/runes/sha256 前缀，收进 omitted），事件先 RedactEvent 再把
     正文键折成 Digest。落到磁盘的只有元数据，正文一个字节都不留；
   - 新增 trace/digest.go：Digest/DigestOf/DigestOfValue，给「脱敏后仍要能诊断」
     一个构造上不含正文的取值形态（体积 + 指纹），两条投影都按类型放行它。

2) 共享上游错误体收敛 helper（给 M41/M42，禁止三家各写一份）
   - trace.UpstreamError(upstream, status, contentType, body)：只保留 status /
     contentType / bodyLen / body sha256 前缀 / 上游 JSON 的 error.code /
     error.type / 截断 128 rune 的 error.message，其余一律丢弃，响应体原文绝不
     进 error 或日志；*UpstreamErrorInfo 提供 Error()/Attrs()/Unwrap()（errors.Is
     可判 ErrUpstream 走降级链）；
   - trace.HostOf / trace.MaskQuery：日志里的 URL 只回来源，凭据类 query 与
     fragment 值打码为 ***，user:pass@ 整段打码。

3) 剥掉三处正文上 span
   - loop：tool span 不再放 result，改放 result_summary（与 tool_execution.end
     帧同源、已脱敏截断）与 result_digest；
   - orchestration：subagent span 不再放 text，subagent.done 事件不再放 summary，
     改记 status/steps/chars/sha256；
   - automations：AddRuleByName 不再 %v 整个 payload，改记 subject/type/bytes/sha256。

测试：以哨兵正文在落盘字节上断言（JSONL / slog 输出），并分别对「编排层收到的
原始 span」与「写侧投影」两层各钉一遍；UpstreamError 用回显 input 的 422 报文
与 HTML 错误页各钉一条；解析出/未解析出 JSON 都不回原文。以上均做过变异验证
（去掉保护即变红）。

验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿；
trace/loop/orchestration 另跑 -race 全绿。

internal/runtime/orchestration/scheduler.go

@@ -394,21 +394,29 @@ func (s *Scheduler) subSpan(ctx context.Context, sub *SubAgent) (context.Context
 }
 
 // subagentEventDone 是子代理运行落定时记在其 span 上的日志事件类型，使面板节点带上
-// 结果摘要（design/19 §1 节点实时日志）。
+// 结果的元数据（状态/步数/回复体积与指纹，绝无正文；design/19 §1 节点实时日志）。
 const subagentEventDone = "subagent.done"
 
-// spanOK 把子代理 span 以 ok 收尾，记录结果文本与一条脱敏的结果事件，随后把已关闭的
-// span 折回父 flow。
+// spanOK 把子代理 span 以 ok 收尾，记录**结果的体积与指纹**（不是正文）与一条同口径
+// 的结果事件，随后把已关闭的 span 折回父 flow。
+//
+// 🔴 子代理的回复正文不进 span：它本来就要留在会话库（那是主人要读的对话），
+// span 与 stderr JSONL 只是落盘的诊断面 —— 把整段回复再抄一遍，等于给一次
+// stderr tail 就能拷走全部对话开了口子（M40 修掉的最严重一条泄漏）。这里留
+// text_digest（字节/rune/sha256 前缀）与事件里的 status/steps/chars/sha256，
+// 足以分辨「这次子代理答了多久、答了多少、是不是同一份」，却拿不到一个字。
 func (s *Scheduler) spanOK(sub *SubAgent, span *trace.Span, res *loop.Result) {
 	if span == nil {
 		return
 	}
 	if res != nil {
-		_ = span.SetProp("text", res.Text)
+		digest := trace.DigestOf(res.Text)
+		_ = span.SetProp("text_digest", digest)
 		_ = span.Record(trace.Event{Type: subagentEventDone, Props: map[string]any{
-			"status":  string(StatusDone),
-			"steps":   res.Steps,
-			"summary": compactText(res.Text, summaryTextMax),
+			"status": string(StatusDone),
+			"steps":  res.Steps,
+			"chars":  digest.Runes,
+			"sha256": digest.SHA256,
 		}})
 	}
 	span.Finish(trace.SpanStatusOK)