feat(channels,voice): IM 各渠道语音消息可被读到（全渠道云端 ASR + 临时熔断）

采集面：mediafetch 新增 inline_voice.go（音频白名单，与 documents.ExtAllowed 互不污染；
复用既有来源白名单 / 逐跳校验 / 边读边限 / 超时）；四个适配器零改动。
消费面：channelbridge 在流水线最前端把「语音字节 → 文本」归一并写回 msg.Content；
inbound.go 的丢空判据放宽为「无文本且无可用媒体」。
微信优先平台自带转写（Content 非空 ⇒ 不调 ASR，不重复付费）。
降级（主人定的两层）：新增 voice/outcome.go 的 STTOutcome 识破静默档位；
errors.go 分类鉴权失败/欠费/限流（CircuitWorthy）；voice_breaker.go 临时熔断 + 退避（TTL 恢复）；
无论是否熔断，消息面都落一行中文诚实提示（绝不静默、绝不留空消息）。
独立短超时：VOICE_STT_TIMEOUT_SEC（默认 20s，同步 .env.example）。
kook 不再把 CDN 地址写进 Content（地址仍在 Media[].URL）。
设计先行：design/06 §1.1/§1.2、design/08 §4.1、design/24 §1.3/§4.2、开源对照清单。
变异 5 条（静默档位不带 Cause / Transcribed 误判 / 熔断恒放行 / ChatText 退化 / 平台文字判据取反）。
诚实边界：实施时官方音频规格尚未抓到 ⇒ MaxVoiceBytes 自定 5 MiB（保守）、采样率仍 16 kHz；
官方规格随后已抓到（10 MB / 5 min；格式含 amr、无 silk），对齐留待下次改动。

internal/services/channelbridge/inbound.go

@@ -133,11 +133,17 @@ func (b *Bridge) process(ctx context.Context, msg adapter.UnifiedMessage) {
 // 桥接器绝不读取消息内容来判定发送者是谁
 // （项目红线）。
 func (b *Bridge) processFrom(ctx context.Context, msg adapter.UnifiedMessage, a adapter.PlatformAdapter) {
+	// 语音 → 文本归一是入站流水线的**第一件事**（切片 IM-ASR；design/06 §1.1）：
+	// 它必须在「丢空判据」之前发生，否则 telegram 的纯语音（无 caption ⇒ Content
+	// 为空）会在下面被整条丢掉。归一写回 msg.Content 之后，最小打扰判定、落库与
+	// 模型可见消息看到的都是**同一份**文本（转写结果，或一行诚实的失败提示）。
+	b.normalizeInboundVoice(ctx, &msg)
+
 	text := strings.TrimSpace(msg.Content)
-	// 无文本且无文件类附件 ⇒ 没有可处理的内容（与既有行为一致）。带附件的
-	// 「纯文件消息」必须继续往下走：附件就是它的内容（design/24 §4.4 的
-	// 「不许静默丢」）。
-	if text == "" && !hasFileMedia(msg) {
+	// 无文本且无**任何可用媒体** ⇒ 没有可处理的内容。带附件的「纯文件消息」与带语音的
+	// 「纯语音消息」必须继续往下走：附件/语音就是它的内容（design/24 §4.4 的
+	// 「不许静默丢」；语音那一路的归一已保证它要么有文本、要么有诚实提示）。
+	if text == "" && !hasUsableMedia(msg) {
 		b.log.Debug("inbound message has no chat text, skipped",
 			"platform", msg.Platform, "channel", msg.ChannelID)
 		return