feat(memory): D3 从「异步后置」改成「同步入库闸」—— 由整理层决定入库形态

主人 2026-10-07 裁定：「把记忆整理功能接到昔涟和记忆库中间做审查，由整理功能
进行入库」。现状是**异步 + 入库后软合并** ⇒ 行已经落库才审，面板/召回先脏后清，
而写入速率实测 ~25 条/小时（≈600/天）⇒ 清理永远追不上。

落法（三条硬规格，全部落地）：
① **同步闸但有界**：闸在 `store.go:247` 的 `planIngest`（INSERT **之前**），
   本体 `preinsert_gate.go`。墙钟预算 **150ms**（实测最坏 p95 仅 4~7ms ⇒ 20~50 倍
   余量）、候选扫描上限 **100**（比异步侧 200 更紧，因为它在写路径上）。
   🔴 **零远端 embedding**：闸恒用词项余弦（`deps.Embedder` 根本不参与）——
   远端 embedding 一次 2.3~3.0s 且对同文本返回不同向量（不可复现），不许摆在同步
   路径上拍板。
② **fail-open，绝不丢记忆**：候选源报错 ⇒ `gate:candidates_unavailable`；超预算 ⇒
   `gate:budget_exceeded` ⇒ **照常 insert(active) + 投既有队列 + 留痕 + WARN**。
③ **三态落库（落 merged，而不是"不插入"）**：确定性命中（字面重复 / 归一化等价 /
   真包含）⇒ INSERT **直接带 `status='merged'` + `merged_into=<存活行>`**，存活行
   `merged_from` 追加、`merge_count`+1 ⇒ **新行从不进 active、从不建向量索引**，
   而**行与原文都在表里 ⇒ revert 无损**。若"干脆不插"，那条文本从未存在过行，
   revert 无从下手，违反 design/23 §8 的红线。
- **不与异步 D3 重复审**：闸做决定的那条 `Async=false`（留痕由闸自己落，
  审计动作名 `memory.ingest.gate`）；真新/拿不准的走原有队列（留痕仍归异步层）。
- **开关**：`$DATA_DIR/config/memory-tidy.json` 的 `{"ingestGate": false}` ⇒ 一键回到
  「只插不审」（= 改动前的异步行为）。**零新 env 键**（`.env` 未碰）。
- 顺手把 `store.go` 的行映射拆到 `store_rows.go`（守 §10 的 ≤500 行）。

验收（主会话复跑 + 亲自变异）：`go build ./...` + `go vet` 绿；memory 包测试绿；
我用 -overlay 摘掉闸的预算 ⇒ `TestIngestGate_Add墙钟有界` 与
`…failOpen_超预算绝不丢记忆` 变红（"Add 等了 2.0s，越过闸预算 150ms"）。
子代理另做 2 个变异（去掉预算 / 把 fail-open 改成 fail-closed）全红，并实测
**闸开 vs 关的 `Add` 额外墙钟：p50 ≈2.5~3.1ms、p95 ≈4~7ms**（基线批均值 35.8µs）。

⚠️ 未部署（要一次 build + restart）；⚠️ 已知边界（如实）：闸只用词项余弦 ⇒
「同义但字面差得远」拦不住（有意为之，由异步层/夜间整理兜）；闸的候选是**最新
100 条**（更老的重复闸看不到）；**并发同内容双写**仍可能两条都落 active（既有竞态，
SELECT 与 INSERT 不在同一事务，非本次引入，第二层会清）。

internal/runtime/memory/preinsert_async_test.go

@@ -97,7 +97,11 @@ func TestReviewNeverCrossesPersonaOrScope(t *testing.T) {
 }
 
 // TestReviewIsNonBlockingAndAsyncPathWorks 是 design/23 §15 D3-3/D3-4：
-// 写入方**绝不等待**审查；审查在后台（工作协程）按队列跑完。
+// 写入方**绝不等待**异步审查；审查在后台（工作协程）按队列跑完。
+//
+// ⚠️ 2026-10-07 起 D3 是**两层**：写路径上有同步入库闸（preinsert_gate.go，
+// 重复当场落 merged），闸没拦下的才进这条异步队列。因此本用例**显式关闸**
+// （DisableIngestGate）来单独验异步那一层 —— 否则它测的会是闸而不是队列。
 func TestReviewIsNonBlockingAndAsyncPathWorks(t *testing.T) {
 	t.Parallel()
 	ctx := context.Background()
@@ -105,9 +109,21 @@ func TestReviewIsNonBlockingAndAsyncPathWorks(t *testing.T) {
 	base := tidyTestTime(t)
 	existing := seedTidyItem(t, store, reviewAt(fixtureHabitShort, base, 0.9))
 
-	r := newTestReviewer(t, store, stubEmbedder{vecs: map[string]embedding.Vector{
-		fixtureHabitShort: {1, 0},
-	}}, 0.80)
+	asyncOnly, err := NewPreInsertReviewer(ReviewConfig{
+		Enabled: true, QueueSize: 8, ScanLimit: 50, Timeout: 5 * time.Second,
+		Threshold: 0.80, DisableIngestGate: true,
+	}, ReviewDeps{
+		Store: store,
+		Embedder: stubEmbedder{vecs: map[string]embedding.Vector{
+			fixtureHabitShort: {1, 0},
+		}},
+		Now: func() time.Time { return tidyTestTime(t) },
+		Log: testLogger(),
+	})
+	if err != nil {
+		t.Fatalf("NewPreInsertReviewer: %v", err)
+	}
+	r := asyncOnly
 	store.AttachIngestReviewer(r)
 	// 未 Start：写入方投递后**立即返回**，审查尚未发生（异步性证据）。
 	start := time.Now()
@@ -116,7 +132,7 @@ func TestReviewIsNonBlockingAndAsyncPathWorks(t *testing.T) {
 		t.Fatalf("写入等了 %s，审查绝不能阻塞写入方", elapsed)
 	}
 	if got := readReviewRow(t, store, dup.ID); got.status != tidyStatusActive {
-		t.Fatalf("审查在写入方返回前就生效了，说明它是同步的：%+v", got)
+		t.Fatalf("关闸后审查仍在写入方返回前生效了：%+v", got)
 	}
 
 	r.Start(ctx)