feat(runtime): document 内容类型与持久化（design/24 S2）

- model 新增 ContentTypeDocument + Content 的四字段 + DocumentMessage 构造器 +
  ValidateDocumentParts（文档部件只允许 RoleUser，非 user ⇒ ErrDocumentOnNonUser，fail-loud）。
- 两个编码器入口（buildMessages / buildAnthropicMessages）对文档部件报 ErrBadRequest：
  本期 document 永不抵达编码器，且绝不静默丢块。
- history：拆出 types.go（Message 增 Document 列），新增 document.go（DocumentRef 同时是
  落库 JSON 与 DTO 形状，6 字段含 status ⇒ §4.4 的「读不到要可见」；坏列回 unreadable 不静默）。
- chat_messages 加 document 列（迁移 0015 + NewStore 幂等前滚）；historyMessage.Document DTO；
  session_persist 的 messageTextImage → messageTextImageDocument（保留窄视图以免牵连 steer 配对）。
- 只落「引用 + 统计」，绝不落抽取正文（TestPersistedDocumentHoldsNoBody 把全部列拼起来扫正文）。

验收（主会话独立复跑，非自报）：隔离 worktree（HEAD + 本切片）go build/vet 绿、
全树 58 包 0 FAIL、linux/amd64 + darwin/arm64 交叉编译绿、18 条 Document* 测试 PASS。
变异独立复现：ValidateDocumentParts 开头 return nil ⇒ 非 user 负例红。

internal/db/migrations/0015_chat_message_document.down.sql

@@ -0,0 +1,8 @@
+-- 0015_chat_message_document down: 回滚文档引用列。
+--
+-- document 只被 chat_messages 自己引用（无索引、无视图、无约束牵涉），因此
+-- 直接删列即可。回滚后的状态是「服务端不再记得这条消息带过附件」：列里的引用
+-- 与统计随列一起丢弃，而文档本体（uploads/extracted）与元数据表不在本迁移的
+-- 范围内，由各自的切片/GC 处置。
+
+ALTER TABLE chat_messages DROP COLUMN document;