feat(channels): 适配器入站内联附件字节（telegram/kook/qq_obv11/weixin_ilink）

- 新增 internal/channel/mediafetch：来源白名单（deny-by-default，支持 *.suffix）
  + 逐跳重定向校验 + 边读边限 + 超时；只回来源主机，绝不回完整 URL
- 四渠道各自 media.go 接通入站内联：只从平台载荷给出的引用取回字节
  （telegram file_id→getFile→file_path 形态校验；kook CDN；qq 文件段 url；
   weixin cdnURL + AES-ECB 解密）
- 常量全部复用既有来源：documents.ExtAllowed / DefaultMaxBytes / MaxPerMessage
- channelbridge 诚实提示文案改为对「渠道只给远程引用」与「代取失败」两种成因都成立
- 18 个测试函数（含四渠道「正文里的 URL ⇒ 0 次命中」红线反证、端到端进模型可见视图）
- 变异验证：去掉尺寸上限 ⇒ 四渠道红（含修正后不再是假绿的 weixin 超量用例）

plugins/channels/weixin_ilink/adapter_http.go

@@ -18,20 +18,36 @@ import (
 	"strings"
 )
 
+// ilinkAuthType 是 iLink 请求头 `AuthorizationType` 的协议定值，仅此一处定义。
+const ilinkAuthType = "ilink_bot_token"
+
 // authorizationHeader 为 req 装上 iLink 通用请求头：JSON 内容类型、bearer
 // token、认证类型、每次新生成的随机 X-WECHAT-UIN 防重放值，以及 App 标识头。
 func (a *Adapter) authorizationHeader(req *http.Request) {
-	req.Header.Set("Content-Type", "application/json")
-	req.Header.Set("AuthorizationType", "ilink_bot_token")
-	req.Header.Set("X-WECHAT-UIN", randomUIN())
-	req.Header.Set("iLink-App-Id", ilinkAppID)
-	req.Header.Set("iLink-App-ClientVersion", buildClientVersion(ilinkVersion))
+	for k, vs := range a.inboundHeaders() {
+		for _, v := range vs {
+			req.Header.Set(k, v)
+		}
+	}
+}
+
+// inboundHeaders 构造 iLink 通用请求头（JSON 内容类型、bearer token、认证类型、随机
+// 防重放值、App 标识头）。API 调用与**入站附件取回**共用同一份口径（切片 IM-1）——
+// CDN 与 API 同属 iLink 平台，凭据与标识没有任何区别。
+func (a *Adapter) inboundHeaders() http.Header {
+	h := http.Header{}
+	h.Set("Content-Type", "application/json")
+	h.Set("AuthorizationType", ilinkAuthType)
+	h.Set("X-WECHAT-UIN", randomUIN())
+	h.Set("iLink-App-Id", ilinkAppID)
+	h.Set("iLink-App-ClientVersion", buildClientVersion(ilinkVersion))
 	a.mu.RLock()
 	token := a.cfg.BotToken
 	a.mu.RUnlock()
 	if token != "" {
-		req.Header.Set("Authorization", "Bearer "+token)
+		h.Set("Authorization", "Bearer "+token)
 	}
+	return h
 }
 
 // randomUIN 返回 base64 编码的十进制 uint32，每次请求都新生成，作为 iLink 的