fix(channelbridge): IM 入站附件引用写进落库的用户消息（安卓报的 P0）

根因：摄取结果只挂到「内存里的模型可见消息」（inbound.go 的 attachInboundAttachments），
落库时只传了 text、history.Message 没有 Document 字段 ⇒ 该列恒空 ⇒ 读侧 omitempty
导致 documents 键整个缺席 ⇒ 任何客户端只看到一条空消息。Web 侧不这样，是因为
gateway/session_persist.go 有 messageTextImageDocument 把 ContentTypeDocument 部件编码进该列
—— IM 路径缺的就是同一步。
修法：inboundAttachments.documentColumn() 复用 history.EncodeDocuments 同一口径写出该列；
persistToMain/persistIsolated 增 document 参数并返回刚落库的消息；新增两段式第二段
persistTurnDocumentStatus 按 id 回写抽取结论（只补结论、按存储名匹配、匹配不到原样留），
与 gateway/session_document_status.go 逐字对齐。
契约零扩张：无新端点/帧/字段；0 附件 ⇒ 列空 ⇒ 键省略；形状即 web 的同一结构体。
测试 6 条（含元素 JSON 逐字断言、unreadable 带 reason、被拒不编造芯片、群聊隔离分支、
真循环端到端）；变异两条（还原挂载 / 关闭结论回写）⇒ 各 4 条红。

internal/services/channelbridge/inbound.go

@@ -225,7 +225,8 @@ func inboundTargetFor(sess session.Session, platform string) inboundTarget {
 // runInboundTurn 为被放行的消息驱动 agent 轮次：解析
 // 路由目标、把消息携带的文件类附件**落库并挂成文档部件**
 // （design/24 §3；切片 M1）、构建模型可见的消息列表、在轮次之前持久化入站
-// 用户消息（因此即使渠道回复失败它也已落地），运行
+// 用户消息**连同它们的 `document` 引用列**（因此即使渠道回复失败它也已落地，
+// 客户端也有附件芯片可点），并在轮次之后把抽取结论补回同一列，运行
 // 循环并把结果交给 deliverReply。
 func (b *Bridge) runInboundTurn(ctx context.Context, msg adapter.UnifiedMessage, a adapter.PlatformAdapter,
 	text string, actor adapter.Actor, sess session.Session) {
@@ -252,14 +253,21 @@ func (b *Bridge) runInboundTurn(ctx context.Context, msg adapter.UnifiedMessage,
 	loopMsgs := b.buildLoopMessages(ctx, text, runEnv, actor, senderName, msg)
 	attachInboundAttachments(loopMsgs, attachments)
 
+	// 附件引用必须同批落进用户消息的 `document` 列（design/24 §2.4）：只把部件挂在
+	// 内存里的模型可见消息上，客户端读到的那条消息就是一片空白 —— 附件芯片只认库
+	// 里的那一列。这里写的是引用与身份，结论要等回合跑完（下一段）。
+	document := b.inboundDocumentColumn(msg, attachments)
+
 	// 主人私聊消息落在 Web 主会话并广播给 Web 客户端；
 	// 受限消息落在其隔离会话（适配器日志页），
 	// 以 `channel_persisted` 事件广播（绝不进入
 	// 主/`web` 会话或 Web 聊天）。
+	// 无论有没有文本都要落库：附件就是纯文件消息的内容（design/24 §4.4）。
+	var userMsg history.Message
 	if target.private {
-		b.persistToMain(ctx, history.RoleUser, text, "", target.platform, deviceIDFor(msg), adapterName(a))
+		userMsg = b.persistToMain(ctx, history.RoleUser, text, "", document, target.platform, deviceIDFor(msg), adapterName(a))
 	} else {
-		b.persistIsolated(ctx, history.RoleUser, text, deviceIDFor(msg), sess, msg.Platform, senderName, adapterName(a))
+		userMsg = b.persistIsolated(ctx, history.RoleUser, text, document, deviceIDFor(msg), sess, msg.Platform, senderName, adapterName(a))
 	}
 
 	res, err := b.run.Run(loop.WithSessionEnv(ctx, runEnv), target.sessionID, loopMsgs)
@@ -267,6 +275,10 @@ func (b *Bridge) runInboundTurn(ctx context.Context, msg adapter.UnifiedMessage,
 		b.log.Warn("agent run failed", "platform", msg.Platform,
 			"session", target.sessionID, "error", err)
 	}
+	// 抽取结论（status/chars/truncated/reason）只能在回合跑起来之后才有，这里按
+	// 服务端存储名把结论补回刚落库的那一行（design/24 §6.1 的两段式，与 Web 侧
+	// gateway/session_document_status.go 同一口径）。
+	b.persistTurnDocumentStatus(userMsg, res)
 	// 出错也交给 deliverReply：回合不能因为「模型那边出了问题」就对用户静默
 	// （空回复 / 轮次用尽 / 内部报错都落一条诚实的可见回复；被取消的回合除外，
 	// 见 turnreply.go）。
@@ -297,9 +309,9 @@ func (b *Bridge) deliverReply(ctx context.Context, msg adapter.UnifiedMessage, a
 	// 广播；受限 → 隔离日志 + channel_persisted 广播），随后
 	// 送回渠道。
 	if target.private {
-		b.persistToMain(ctx, history.RoleAssistant, reply, mood, target.platform, deviceIDFor(msg), adapterName(a))
+		b.persistToMain(ctx, history.RoleAssistant, reply, mood, "", target.platform, deviceIDFor(msg), adapterName(a))
 	} else {
-		b.persistIsolated(ctx, history.RoleAssistant, reply, "", sess, msg.Platform, "", adapterName(a))
+		b.persistIsolated(ctx, history.RoleAssistant, reply, "", "", sess, msg.Platform, "", adapterName(a))
 	}
 	if err := b.sendReply(ctx, msg, a, reply); err != nil {
 		if errors.Is(err, adapter.ErrUnsupported) {