feat(memory): 护栏抬高+时间预算闸+试算加性异步 与 D3 入库前审查（耦合两片一起落）

【MT-A：护栏 + 诚实截断 + 试算异步】
- maxTidyCompareItems 400(写死)→2000 并开放为 MEMORY_TIDY_COMPARE_LIMIT；
  MEMORY_TIDY_CANDIDATE_LIMIT 默认 20→200（语义不变，仍每分区）
- 依据是首跑实测：459 条的分区被 400 截断 ⇒ compared(705) < scanned(784)，
  候选数(77)由上限而不是规则决定；三处上限的 WARN 都补齐了总数/上限/分区名
- 新增「上限 + 时间预算」双闸（实测 2000 条/分区 ≈234s > 3 分钟墙钟）：
  整分区跳过 / 两两比对中途收手，一律如实记 (budget) + WARN
- ?async=1 ⇒ 202 {runId,status}；GET …/{runId} 轮询（writeAuth 同档）；
  done 的 result 与同步 data 逐字节同形；并发=复用既有 runId、TTL 30min 自完成起算、
  重启即如实 404 tidy_run_not_found；不带 async 时同步路径逐字不变

【MT-B：D3 入库前审查（design/23 §15.1）】
- 新记忆经 Store.Add（仓库里唯一 INSERT INTO memory_items）落库后，由独立记忆管理
  会话（sess-memorytidy）在有界后台队列异步判定 skip/merge/modify/create
- 软合并回写（status + merged_into/merged_from/merge_count，可 revert、绝不改 content）
- 隔离来源（群聊/陌生人）**概不审查**、召回/超时失败**零改写**（fail-safe 结构性成立）
- 写入侧仅 +62.7µs/条（非阻塞入队）；默认 ENABLED=true（主人裁定：入库前先审查）

【耦合说明（重要）】两片同包且互相依赖：MT-B 的 preinsert_recall.go 用 MT-A 的
collectTidyPairs 新签名 + tidyBudget ⇒ **各自单独都 build 不过**，故一并落地。
MT-A 为让整包编译，最小幅度适配了 MT-B 的 preinsert_recall.go / preinsert_test.go
（零值预算=行为不变；符号重名改名）。

【我的验收】隔离 worktree（37 文件）build/vet/linux/darwin 全过，切片包全绿；
我亲手打红两个变异：① 去掉 (compare) 截断标记 ⇒ TestTidyCompareLimit_HitIsLoud 红；
② 中和隔离来源守卫 ⇒ TestReviewRestrictedSourceIsNeverTouched 红。
唯一红是 internal/runtime/tool 的两条超时用例（该包无人改）⇒ 主仓库 -count=8 全绿，
判定为负载敏感 flake（当时两个整树验收 + 子代理并发），已记入开发习惯与约定 §7。

.env.example 补 MEMORY_REVIEW_* 四键（MT-B 无该文件权限，由我按其代码语义补写）。

internal/services/gateway/admin_config_facts.go

@@ -8,7 +8,7 @@ import (
 )
 
 // 本文件承载 P3「配置只读事实面」：把面板此前**看不见、只能照模板猜**的一组调参
-// 键做成只读事实展示（记忆整理 7 键 + 安静时段 2 键 + 后台思考心跳 3 键）。三条边界
+// 键做成只读事实展示（记忆整理 8 键 + 安静时段 2 键 + 后台思考心跳 3 键）。三条边界
 // （AGENTS §10 与主人红线）：
 //
 //  1. **键名单的权威来源是 `.env.example`**（不是 `.env`、也不是本文件自己发明
@@ -20,7 +20,7 @@ import (
 //     面板看到的是运行实例真正在用的数，而不是 `.env` 原文。每条事实另带**声明
 //     默认值**（从 `default:"…"` 标签反射读出）与 `isDefault`，于是「这项还是默认
 //     值」与「这项被改过」都能如实显示，不必假装知道 `.env` 里写过什么。
-//  3. **绝不回任何密钥 / 令牌值**：本端点只覆盖上述 12 个非敏感调参键，响应里连
+//  3. **绝不回任何密钥 / 令牌值**：本端点只覆盖上述 13 个非敏感调参键，响应里连
 //     凭据类键的「是否已配置」都不出现。
 //     `TestAdminConfigFacts_NeverLeaksSecretValues` 用哨兵值把这条钉死。
 //
@@ -78,6 +78,7 @@ type configFactSpec struct {
 
 // configFactSpecs 是事实表的**唯一真源**：顺序即面板显示顺序（先记忆整理，
 // 后安静时段与后台思考心跳）。键名必须与 `.env.example` 逐字一致（测试钉住）。
+// 条数：记忆整理 8 + 后台思考心跳 3 + 安静时段 2 = 13。
 func configFactSpecs() []configFactSpec {
 	return []configFactSpec{
 		{"MEMORY_TIDY_ENABLED", func(c *config.Config) string {
@@ -101,6 +102,12 @@ func configFactSpecs() []configFactSpec {
 		{"MEMORY_TIDY_CANDIDATE_LIMIT", func(c *config.Config) string {
 			return strconv.Itoa(c.MemoryTidy.CandidateLimit)
 		}},
+		// 两两比对的性能护栏（切片 MT-A，2026-10-06）：此前是写死的常量 400，
+		// 459 条的分区被截到 400 ⇒ compared < scanned。开放成 env 键后，面板能看到
+		// 「这项是不是还是默认值」，运维放大配额也不必改代码。
+		{"MEMORY_TIDY_COMPARE_LIMIT", func(c *config.Config) string {
+			return strconv.Itoa(c.MemoryTidy.CompareLimit)
+		}},
 		// 后台思考心跳（design/12 §N A4）：安静窗口只降低周期性心跳的频率，
 		// 而 env 是**启动期**读的 ⇒ 面板照实列出「生效值 + 声明默认」并写明改需重启。
 		{"ENABLE_BACKGROUND_THINKING", func(c *config.Config) string {