feat(gateway): 配置只读事实面 + 后台思考行「档位/穿透」（契约 v0.68）

- 新增 GET /api/v1/admin/config-facts：记忆整理 7 键 + 安静时段 2 键的**进程生效值** + 声明默认值（反射读 default 标签，不读 .env）
- 面板：记忆整理卡 + 安静时段卡（Miuix 只读），文案按新语义「只服务主动搭话，不静默回复」
- 后台思考行加 urgency（**只能是下限**，存档不可分 high/critical）+ quietHoursBypassed（与既有 bypassed 是两件事）
- 红线实测：往响应里塞 JWT ⇒ TestAdminConfigFacts_NeverLeaksSecretValues 打红（连断言消息都把整个响应打出来了）
- 前端：configFacts 24 checks / ConfigFactsCards 29 / BackthinkUrgencyTags 19 全过
- 契约 v0.68（纯增量：B12 新端点 + B8 两字段 + §4.10 形状与语义 + §7.4-17 下限限定）

frontend/web/src/lib/api/adminSystem.ts

@@ -7,6 +7,7 @@ import type {
   AdminStorageStatus,
   AdminTraceSpan,
   AuditRecord,
+  AdminConfigFacts,
   BackthinkItem,
   SystemBackupResp,
   SystemRestoreResp,
@@ -45,6 +46,14 @@ export function adminBackthink(limit?: number): Promise<BackthinkItem[]> {
   return request<BackthinkItem[]>(`/admin/backthink${limitQuery(limit)}`);
 }
 
+/** GET /api/v1/admin/config-facts — **只读**配置事实面（契约 v0.68 §4.10(a)）：
+ *  记忆整理 7 键 + 安静时段两键的**进程生效值** + 声明默认值，外加安静时段窗口的
+ *  解释（跨午夜 / 已关闭）。owner/admin 档；**不含任何凭据值**（后端有哨兵测试钉死），
+ *  网关也**不读 `.env`** —— 值就是运行实例真正在用的数。 */
+export function adminConfigFacts(): Promise<AdminConfigFacts> {
+  return request<AdminConfigFacts>("/admin/config-facts");
+}
+
 /** GET /api/v1/admin/notifications?type=&before=&limit= — the unified notification
  *  feed (design/10 §3 #16: audit + channel + backthink + system aggregated).
  *  `type` omitted = all types, `before` = createdAt(ms) cursor for older pages,