refactor(trace): 把剥 url.Error 壳的实现收敛成 trace.URLCause

五处逐字同形的三行（mediafetch.sanitizeErr / httpclient.transportCause /
vision.fetchCause / telegram.callCause / weixin_ilink.urlFreeCause）收敛为
trace 包里的唯一实现，13 个调用点改为直接调用；5 份 body 只剩 1 份，5 个
未导出符号与其文件内注释整份删除（不留薄封装）。

行为等价：只剥 *url.Error、不新增包装，内层哨兵链（context 取消/超时、
*net.DNSError 等）原样透传，因此重试/降级/熔断的分类判据不变。两处刻意的
收紧：
- 逐层剥：内层若还是 *url.Error 也一起剥（只剥一层时内层仍带同一段地址）；
- *url.Error 的 Err 为 nil（或链自引用）时不再回落到原串，退化成只含 Op 的
  替身 —— 那种错误无法在不带地址的前提下原样返回，而地址里就是凭据。

顺带把 httpclient 的 user:pass@ 用例改成变异可打红：net/http 自己在
*url.Error 里就把密码打成 ***，「密码不出现」在剥壳与不剥壳下都成立（空跑），
用户名才是分水岭。

验收：go build ./... + go vet ./... + 指定包 go test -count=1 全绿；
变异验证（把 URLCause 改成透传）⇒ 五处「不含 URL」断言全红。

internal/channel/adapter/httpclient/client.go

@@ -145,7 +145,7 @@ func (c *Client) do(ctx context.Context, method, target string, body any) (json.
 	}
 	req, err := http.NewRequestWithContext(ctx, method, target, &buf)
 	if err != nil {
-		return nil, fmt.Errorf("httpclient: build %s %s request: %w", method, host, transportCause(err))
+		return nil, fmt.Errorf("httpclient: build %s %s request: %w", method, host, trace.URLCause(err))
 	}
 	req.Header.Set("Content-Type", "application/json")
 	req.Header.Set("Accept", "application/json")
@@ -159,13 +159,13 @@ func (c *Client) do(ctx context.Context, method, target string, body any) (json.
 
 	resp, err := c.http.Do(req)
 	if err != nil {
-		return nil, fmt.Errorf("httpclient: %s %s: %w", method, host, transportCause(err))
+		return nil, fmt.Errorf("httpclient: %s %s: %w", method, host, trace.URLCause(err))
 	}
 	defer resp.Body.Close()
 
 	raw, err := io.ReadAll(io.LimitReader(resp.Body, maxBodyBytes))
 	if err != nil {
-		return nil, fmt.Errorf("httpclient: read %s %s response: %w", method, host, transportCause(err))
+		return nil, fmt.Errorf("httpclient: read %s %s response: %w", method, host, trace.URLCause(err))
 	}
 	if resp.StatusCode < 200 || resp.StatusCode >= 300 {
 		return nil, apiFailure(method, host, resp, raw)
@@ -209,16 +209,3 @@ func apiFailure(method, host string, resp *http.Response, raw []byte) error {
 func envelopeMessage(s string) string {
 	return trace.RedactText(strings.Join(strings.Fields(s), " "))
 }
-
-// transportCause 剥掉 net/http 的 *url.Error 外壳：它会把**完整请求地址**拼进错误串
-// （query 里的凭据、user:pass@ 都会跟着走）。剥壳保留内层哨兵链
-// （context.DeadlineExceeded 等仍可 errors.Is），因此只丢地址、不丢原因。
-// 与 internal/channel/mediafetch 的 sanitizeErr 同一口径 —— 那份未导出，且服务于入站
-// 取回路径，本包不能反向依赖它。
-func transportCause(err error) error {
-	var uerr *url.Error
-	if errors.As(err, &uerr) && uerr.Err != nil {
-		return uerr.Err
-	}
-	return err
-}

internal/channel/adapter/httpclient/leak_test.go

@@ -131,18 +131,26 @@ func TestGetJSON_TransportErrorOmitsTargetCredentials(t *testing.T) {
 }
 
 // TestGetJSON_UserinfoNeverEntersError 绝对地址带 user:pass@ 时同样不得出镜。
+//
+// 断言用户名而不只是密码：net/http 自己在 *url.Error 里就把密码打成 xxxxx，因此
+// 「密码不出现」在剥壳与不剥壳两种实现下都成立（这样的用例是空跑）；用户名才是
+// 剥壳与不剥壳的分水岭。
 func TestGetJSON_UserinfoNeverEntersError(t *testing.T) {
 	t.Parallel()
 	c := New(
 		WithHTTPClient(&http.Client{Transport: failingTransport{}}),
 		WithLogger(discardLogger()),
 	)
-	_, err := c.GetJSON(context.Background(), "https://user:pass@api.example.com/x", nil)
+	_, err := c.GetJSON(context.Background(), "https://leakuser:leakpass@api.example.com/x", nil)
 	if err == nil {
 		t.Fatal("传输层失败却报成功")
 	}
-	if strings.Contains(err.Error(), "user:pass") {
-		t.Fatalf("user:pass@ 进了错误：%v", err)
+	msg := err.Error()
+	if strings.Contains(msg, "leakuser") || strings.Contains(msg, "leakpass") {
+		t.Fatalf("user:pass@ 进了错误：%v", msg)
+	}
+	if !strings.Contains(msg, "api.example.com") {
+		t.Fatalf("剥掉地址时把来源一起丢了：%v", msg)
 	}
 }
 

internal/channel/mediafetch/mediafetch.go

@@ -39,6 +39,7 @@ import (
 	"time"
 
 	"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/documents"
+	"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/trace"
 )
 
 const (
@@ -179,7 +180,7 @@ func Fetch(ctx context.Context, req Request) ([]byte, error) {
 
 	resp, err := client.Do(httpReq)
 	if err != nil {
-		return nil, fmt.Errorf("mediafetch: 取回 %s 失败: %w", origin, sanitizeErr(err))
+		return nil, fmt.Errorf("mediafetch: 取回 %s 失败: %w", origin, trace.URLCause(err))
 	}
 	defer func() { _ = resp.Body.Close() }()
 
@@ -189,7 +190,7 @@ func Fetch(ctx context.Context, req Request) ([]byte, error) {
 	// 边读边限：多读一个字节用来判定「超限」，因此绝不会把一份超大文件读满内存。
 	data, err := io.ReadAll(io.LimitReader(resp.Body, maxBytes+1))
 	if err != nil {
-		return nil, fmt.Errorf("mediafetch: 读取 %s 失败: %w", origin, sanitizeErr(err))
+		return nil, fmt.Errorf("mediafetch: 读取 %s 失败: %w", origin, trace.URLCause(err))
 	}
 	if int64(len(data)) > maxBytes {
 		return nil, fmt.Errorf("%w（上限 %d 字节，来源 %s）", ErrTooLarge, maxBytes, origin)
@@ -239,18 +240,6 @@ func applyHeader(dst, src http.Header) {
 	}
 }
 
-// sanitizeErr 剥掉 *url.Error 的外壳：它会把**完整 URL**（含查询串里的签名凭据）
-// 拼进错误串。剥壳同时保留内层哨兵链（`context.DeadlineExceeded` 等仍可用
-// errors.Is 判定）。内层已是最终错误时**原样透传**（这里只做剥壳，不新增包装 ——
-// 再包一层只会把同一个原因说两遍）。
-func sanitizeErr(err error) error {
-	var uerr *url.Error
-	if errors.As(err, &uerr) && uerr.Err != nil {
-		return uerr.Err
-	}
-	return err
-}
-
 // originOfURL 把一个已解析的 URL 归一成来源字符串。
 func originOfURL(u *url.URL) (string, error) {
 	if u == nil {