fix(channel): M41 r1 复审三条 —— telegram 构造分支、QQ 改 MaskQuery、删两处死上限

P2-1 telegram doJSON 的**请求构造**失败分支：http.NewRequestWithContext 解析失败的
err 同样是 *url.Error（里面是整条 /bot<token>/… 地址），而 poll.go 的 long poll
failed 会原样落日志。改成与传输层分支同形：trace.HostOf(endpoint) + callCause。

P2-2 qq_obv11 connectClient 的成功 INFO 从 maskAccessTokenQuery 换成
trace.MaskQuery：后者认得 access%5Ftoken / token / api_key / 签名参数 / userinfo，
且保留 EscapedPath（路径可读）与不截断。maskAccessTokenQuery 仍被
sanitizeConnectReason 使用，未成死代码。

P2-3 删掉 maxEnvelopeMessageRunes / maxDescriptionRunes（各 200）：trace.RedactText
内部已 truncate 到 maxSummaryRunes=80，这两层永不命中，注释口径与实际不符。改为
直接 return trace.RedactText(压平空白)，注释写明 80 rune 由 RedactText 负责。

用例（全部变异打红，逐条验证）：telegram 构造分支 token、QQ 八形态凭据矩阵
（含四种 maskAccessTokenQuery 漏掉的形态 + 路径可读反向断言）、两处 80 rune 上限。

plugins/channels/telegram/botapi_leak_test.go

@@ -101,3 +101,54 @@ func TestDoJSON_TransportErrorOmitsBotToken(t *testing.T) {
 		t.Fatalf("剥掉地址时把来源或原因一起丢了：%v", err)
 	}
 }
+
+// TestDoJSON_BuildErrorOmitsBotToken 请求**构造**失败也是同一族：地址解析失败的
+// err 同样是 *url.Error，里面就是整条 /bot<token>/… 地址，而 poll.go 会原样落日志。
+// 与传输层分支同形：只留来源，原因保留。
+func TestDoJSON_BuildErrorOmitsBotToken(t *testing.T) {
+	t.Parallel()
+	const token = "424242:PROBE-BUILD-TOKEN"
+	a := New(
+		Config{BotToken: token},
+		// 控制字符让 url.Parse 失败 —— 这是「构造请求」分支唯一现实的触发方式。
+		WithBaseURL("http://api.example.com/\x7f"),
+		WithLogger(discardLogger()),
+	)
+
+	_, err := a.doJSON(context.Background(), "getUpdates", nil)
+	if err == nil {
+		t.Fatal("构造失败却报成功")
+	}
+	if strings.Contains(err.Error(), token) {
+		t.Fatalf("bot token 随地址进了错误（会随 long poll failed 落日志）：%v", err)
+	}
+	if !strings.Contains(err.Error(), "build getUpdates request") {
+		t.Fatalf("错误没说是哪个方法的构造失败：%v", err)
+	}
+	if !strings.Contains(err.Error(), "net/url") && !strings.Contains(err.Error(), "invalid") {
+		t.Fatalf("剥掉地址时把原因一起丢了：%v", err)
+	}
+}
+
+// TestDoJSON_DescriptionIsBoundedByRedactText 钉住长度口径：description 只有一道
+// 清洗（trace.RedactText，80 rune + 省略号）。本片曾按 200 rune 自己再截一刀，那层
+// 永远命中不了 —— 这条用例让「到底哪一层在截」变成可断言的事实。
+func TestDoJSON_DescriptionIsBoundedByRedactText(t *testing.T) {
+	t.Parallel()
+	long := strings.Repeat("a", 300)
+	a, _ := newTestAdapter(t, http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		w.WriteHeader(http.StatusBadRequest)
+		_, _ = w.Write([]byte(`{"ok":false,"error_code":400,"description":"` + long + `"}`))
+	}))
+
+	_, err := a.doJSON(context.Background(), "getMe", nil)
+	if err == nil {
+		t.Fatal("400 却报成功")
+	}
+	if !strings.Contains(err.Error(), strings.Repeat("a", 80)+"…") {
+		t.Fatalf("description 没有按 80 rune 截断：%v", err)
+	}
+	if strings.Contains(err.Error(), strings.Repeat("a", 81)) {
+		t.Fatalf("description 超过了 80 rune 上限：%v", err)
+	}
+}