feat(tools): 真实工具声明文件目标（让文件级互斥真正生效）

新增 plugins/tools/io/file_targets.go：fileTool 与 cropTool 实现 tool.FileTargeter
（编译期钉住 var _ tool.FileTargeter，声明集中一处可审计）。
file：read/list/search ⇒ 读；其余（含 delete / 未知 / 缺失 action）⇒ 写（保守侧，宁可多挡一次）。
路径取沙箱解析前的声明值（绝对、clean、已确认在 roots 内，纯词法不触盘）；沙箱会拒的路径不声明。
search 的缺省 base 与执行路径共用 f.searchBase（避免声明目录 ≠ 实际走查目录）。
image-crop：仅本地路径声明为读（URL/data URI 不落盘）；分类与 load 共用一份。
体检清单：file ✅ / image-crop ✅ / document-read ❌（sidecar 走「临时文件 + rename」原子替换，
无撕读风险；且布局属未导出的第二份真相）/ basic、http、knowledge 等不碰盘；
vision·ocr（internal 越界）、terminal（cmd 越界 + 目标不可知）、MCP 外部工具 未做 —— 如实登记为遗留。
测试：单元（action→Op 全表 / 路径归一 / 不声明场景）+ 机制层 6 条（真插件 + 真 Dispatcher + 真占用表，
用闸门工具把并发变确定性事件，不靠 sleep）。
变异 5 条（一切按写 / 未知按读 / 用原始相对串 / crop 不声明 / file 声明被抹掉）。
注：本切片声明正确但生效依赖 ef3dcb6（网关给每条在途路挂互斥身份）。

plugins/tools/io/file.go

@@ -61,7 +61,7 @@ func (f *fileTool) Parameters() (map[string]any, error) {
 	return map[string]any{
 		"type": "object",
 		"properties": map[string]any{
-			"action":  map[string]any{"type": "string", "enum": []any{"read", "write", "list", "search"}, "description": "Operation to perform."},
+			"action":  map[string]any{"type": "string", "enum": []any{actionRead, actionWrite, actionList, actionSearch}, "description": "Operation to perform."},
 			"path":    map[string]any{"type": "string", "description": "Absolute or data-directory-relative file path."},
 			"content": map[string]any{"type": "string", "description": "Body to write."},
 			"query":   map[string]any{"type": "string", "description": "Substring filter for search."},
@@ -77,13 +77,13 @@ func (f *fileTool) Execute(ctx context.Context, args any) (any, error) {
 		return nil, fmt.Errorf("io: file: args must be an object")
 	}
 	switch action := argString(m, "action"); action {
-	case "read":
+	case actionRead:
 		return f.read(ctx, argString(m, "path"))
-	case "write":
+	case actionWrite:
 		return f.write(ctx, argString(m, "path"), argString(m, "content"))
-	case "list":
+	case actionList:
 		return f.list(ctx, argString(m, "path"))
-	case "search":
+	case actionSearch:
 		return f.search(ctx, argString(m, "path"), argString(m, "query"))
 	default:
 		return nil, fmt.Errorf("io: file: unknown action %q", action)
@@ -202,11 +202,9 @@ func (f *fileTool) search(ctx context.Context, base, query string) (any, error)
 	if strings.TrimSpace(query) == "" {
 		return nil, fmt.Errorf("io: file: search query is required")
 	}
-	if strings.TrimSpace(base) == "" {
-		if len(f.roots) == 0 {
-			return nil, fmt.Errorf("io: file: no base directory configured")
-		}
-		base = f.roots[0]
+	base, err := f.searchBase(base)
+	if err != nil {
+		return nil, err
 	}
 	real, err := f.resolveExisting(base)
 	if err != nil {
@@ -248,6 +246,19 @@ func (f *fileTool) search(ctx context.Context, base, query string) (any, error)
 	return map[string]any{"base": real, "query": query, "hits": hits, "count": len(hits)}, nil
 }
 
+// searchBase 解析 search 的基准目录：显式给定就原样返回（由 resolveExisting 归一），
+// 缺省时用主 root。执行路径与目标声明（file_targets.go 的 declaredPath）必须用同一
+// 份缺省口径，否则声明出来的路径会与真正走查的目录不是同一个。
+func (f *fileTool) searchBase(base string) (string, error) {
+	if strings.TrimSpace(base) != "" {
+		return base, nil
+	}
+	if len(f.roots) == 0 {
+		return "", fmt.Errorf("io: file: no base directory configured")
+	}
+	return f.roots[0], nil
+}
+
 // ErrNullByte 表示路径中含 NUL 字节：在触达文件系统之前就被拒绝（收敛自原 exec 文件
 // 沙箱，裁决 13.4.4）。调用方与测试一律用 errors.Is(err, ErrNullByte) 判定——不要断言
 // 错误文本；此处只存不带来源前缀的文本，前缀由返回值处的 fmt.Errorf 补上，保证对外错误