fix(channel): M41 r1 复审三条 —— telegram 构造分支、QQ 改 MaskQuery、删两处死上限

P2-1 telegram doJSON 的**请求构造**失败分支：http.NewRequestWithContext 解析失败的
err 同样是 *url.Error（里面是整条 /bot<token>/… 地址），而 poll.go 的 long poll
failed 会原样落日志。改成与传输层分支同形：trace.HostOf(endpoint) + callCause。

P2-2 qq_obv11 connectClient 的成功 INFO 从 maskAccessTokenQuery 换成
trace.MaskQuery：后者认得 access%5Ftoken / token / api_key / 签名参数 / userinfo，
且保留 EscapedPath（路径可读）与不截断。maskAccessTokenQuery 仍被
sanitizeConnectReason 使用，未成死代码。

P2-3 删掉 maxEnvelopeMessageRunes / maxDescriptionRunes（各 200）：trace.RedactText
内部已 truncate 到 maxSummaryRunes=80，这两层永不命中，注释口径与实际不符。改为
直接 return trace.RedactText(压平空白)，注释写明 80 rune 由 RedactText 负责。

用例（全部变异打红，逐条验证）：telegram 构造分支 token、QQ 八形态凭据矩阵
（含四种 maskAccessTokenQuery 漏掉的形态 + 路径可读反向断言）、两处 80 rune 上限。

plugins/channels/telegram/botapi.go

@@ -24,14 +24,8 @@ type botResponse struct {
 	ErrorCode   int             `json:"error_code"`
 }
 
-const (
-	// maxErrorBodyBytes caps how much of a non-200 reply is read before classifying it.
-	maxErrorBodyBytes = 512
-	// maxDescriptionRunes caps the description once it enters an error. Telegram's
-	// description is upstream free text (it can echo the parameter we sent), so it
-	// is cleaned and bounded instead of being passed through verbatim.
-	maxDescriptionRunes = 200
-)
+// maxErrorBodyBytes caps how much of a non-200 reply is read before classifying it.
+const maxErrorBodyBytes = 512
 
 // doJSON posts a JSON payload to a Bot API method and decodes the envelope. The
 // caller is responsible for decoding Result; a non-OK reply is returned as
@@ -45,7 +39,10 @@ func (a *Adapter) doJSON(ctx context.Context, method string, payload any) (*botR
 	}
 	req, err := http.NewRequestWithContext(ctx, http.MethodPost, a.endpoint(method), &buf)
 	if err != nil {
-		return nil, fmt.Errorf("telegram: build %s request: %w", method, err)
+		// 解析失败的 err 同样是 *url.Error（里面是整条 /bot<token>/… 地址），因此与
+		// 下面的传输层分支同形处理：只留来源，地址由 callCause 剥掉。
+		return nil, fmt.Errorf("telegram: build %s request %s: %w",
+			method, trace.HostOf(a.endpoint(method)), callCause(err))
 	}
 	req.Header.Set("Content-Type", "application/json")
 	req.Header.Set("Accept", "application/json")
@@ -234,15 +231,10 @@ func badResponseError(method string, status int, body []byte) error {
 	return fmt.Errorf("%s: %w", strings.Join(parts, ": "), ErrBadResponse)
 }
 
-// boundedDescription 是 Bot API description 进入错误前的唯一处理：压平空白、清洗
-// 凭据形状，再按 rune 截断（宁可丢细节，不可把一段回显整段带出来）。
+// boundedDescription 是 Bot API description 进入错误前的唯一处理：压平空白，再交给
+// trace.RedactText —— 它既清洗凭据形状，也把长度压到 80 rune（超出的带省略号）。
 func boundedDescription(s string) string {
-	flat := strings.Join(strings.Fields(s), " ")
-	flat = trace.RedactText(flat)
-	if r := []rune(flat); len(r) > maxDescriptionRunes {
-		return string(r[:maxDescriptionRunes]) + "…"
-	}
-	return flat
+	return trace.RedactText(strings.Join(strings.Fields(s), " "))
 }
 
 // callCause 剥掉 net/http 的 *url.Error 外壳：它会把完整地址拼进错误串，而 Bot API

plugins/channels/telegram/botapi_leak_test.go

@@ -101,3 +101,54 @@ func TestDoJSON_TransportErrorOmitsBotToken(t *testing.T) {
 		t.Fatalf("剥掉地址时把来源或原因一起丢了：%v", err)
 	}
 }
+
+// TestDoJSON_BuildErrorOmitsBotToken 请求**构造**失败也是同一族：地址解析失败的
+// err 同样是 *url.Error，里面就是整条 /bot<token>/… 地址，而 poll.go 会原样落日志。
+// 与传输层分支同形：只留来源，原因保留。
+func TestDoJSON_BuildErrorOmitsBotToken(t *testing.T) {
+	t.Parallel()
+	const token = "424242:PROBE-BUILD-TOKEN"
+	a := New(
+		Config{BotToken: token},
+		// 控制字符让 url.Parse 失败 —— 这是「构造请求」分支唯一现实的触发方式。
+		WithBaseURL("http://api.example.com/\x7f"),
+		WithLogger(discardLogger()),
+	)
+
+	_, err := a.doJSON(context.Background(), "getUpdates", nil)
+	if err == nil {
+		t.Fatal("构造失败却报成功")
+	}
+	if strings.Contains(err.Error(), token) {
+		t.Fatalf("bot token 随地址进了错误（会随 long poll failed 落日志）：%v", err)
+	}
+	if !strings.Contains(err.Error(), "build getUpdates request") {
+		t.Fatalf("错误没说是哪个方法的构造失败：%v", err)
+	}
+	if !strings.Contains(err.Error(), "net/url") && !strings.Contains(err.Error(), "invalid") {
+		t.Fatalf("剥掉地址时把原因一起丢了：%v", err)
+	}
+}
+
+// TestDoJSON_DescriptionIsBoundedByRedactText 钉住长度口径：description 只有一道
+// 清洗（trace.RedactText，80 rune + 省略号）。本片曾按 200 rune 自己再截一刀，那层
+// 永远命中不了 —— 这条用例让「到底哪一层在截」变成可断言的事实。
+func TestDoJSON_DescriptionIsBoundedByRedactText(t *testing.T) {
+	t.Parallel()
+	long := strings.Repeat("a", 300)
+	a, _ := newTestAdapter(t, http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		w.WriteHeader(http.StatusBadRequest)
+		_, _ = w.Write([]byte(`{"ok":false,"error_code":400,"description":"` + long + `"}`))
+	}))
+
+	_, err := a.doJSON(context.Background(), "getMe", nil)
+	if err == nil {
+		t.Fatal("400 却报成功")
+	}
+	if !strings.Contains(err.Error(), strings.Repeat("a", 80)+"…") {
+		t.Fatalf("description 没有按 80 rune 截断：%v", err)
+	}
+	if strings.Contains(err.Error(), strings.Repeat("a", 81)) {
+		t.Fatalf("description 超过了 80 rune 上限：%v", err)
+	}
+}