feat(channels): 适配器入站内联附件字节（telegram/kook/qq_obv11/weixin_ilink）

- 新增 internal/channel/mediafetch：来源白名单（deny-by-default，支持 *.suffix）
  + 逐跳重定向校验 + 边读边限 + 超时；只回来源主机，绝不回完整 URL
- 四渠道各自 media.go 接通入站内联：只从平台载荷给出的引用取回字节
  （telegram file_id→getFile→file_path 形态校验；kook CDN；qq 文件段 url；
   weixin cdnURL + AES-ECB 解密）
- 常量全部复用既有来源：documents.ExtAllowed / DefaultMaxBytes / MaxPerMessage
- channelbridge 诚实提示文案改为对「渠道只给远程引用」与「代取失败」两种成因都成立
- 18 个测试函数（含四渠道「正文里的 URL ⇒ 0 次命中」红线反证、端到端进模型可见视图）
- 变异验证：去掉尺寸上限 ⇒ 四渠道红（含修正后不再是假绿的 weixin 超量用例）

plugins/channels/weixin_ilink/poll.go

@@ -124,8 +124,10 @@ func (a *Adapter) ReadMessages(ctx context.Context, emit func(adapter.UnifiedMes
 }
 
 // deliver 在已安装处理器时把归一化消息交给它，否则交给 emit 回调
-// （design/08 §1：推送式与拉取式投递）。
+// （design/08 §1：推送式与拉取式投递）。文件类附件的字节在**投递之前**内联
+// （切片 IM-1）：轮询是这条适配器唯一的入站路径，因此这里是唯一的决策点。
 func (a *Adapter) deliver(ctx context.Context, m adapter.UnifiedMessage, emit func(adapter.UnifiedMessage)) {
+	a.inlineInboundMedia(ctx, &m)
 	if h := a.handlerLocked(); h != nil {
 		h(ctx, m)
 		return
@@ -220,8 +222,9 @@ func (a *Adapter) convertMessage(raw json.RawMessage) (string, *adapter.UnifiedM
 }
 
 // convertItems 把 item 列表抽取成文本、一个主内容类型和媒体切片。文本 item 的文本
-// 会拼接起来；语音 item 贡献其 ASR 转写；图片/文件/视频 item 以 CDN 引用的形式惰性
-// 挂上（轮询期间绝不下载）。
+// 会拼接起来；语音 item 贡献其 ASR 转写；图片/文件/视频 item 先以 CDN 引用的形式
+// 挂上（转换期不下载）；**文件类**附件的字节随后由 deliver → inlineInboundMedia 在
+// 受支持格式与限额内取回并内联（切片 IM-1），图片/视频仍走各自既有链路。
 func (a *Adapter) convertItems(rawItems []json.RawMessage) (string, adapter.ContentType, []adapter.Media) {
 	var text strings.Builder
 	var media []adapter.Media