fix(browser): M53 追加 Chrome 输出预览打码

preview() 出镜前过 trace.RedactTextLimited(600 rune)，覆盖失败日志的 chrome_output 与 withChromeOutput 追加给调用方的错误串；补凭据形状/原话可见/有界三条测试，删实现可打红。

internal/capability/browser/errtext.go

@@ -1,9 +1,9 @@
 package browser
 
-// 本文件是**页面侧自由文本出口**的收敛点：CDP 有两个字段会把页面/对端说的话原样
-// 交给我们，它们出镜（进 error ⇒ 日志 + 模型可见视图）之前必须在这里过一道。
+// 本文件是**对端自由文本出口**的收敛点：有三处会把页面/浏览器自己说的话原样交给我们，
+// 它们出镜（进 error ⇒ 日志 + 模型可见视图）之前必须在这里过一道。
 //
-// 两个字段**不是同一类**，因此守卫也不同（口径见 internal/runtime/trace/errortoken.go
+// 三处**不是同一类**，因此守卫也不同（口径见 internal/runtime/trace/errortoken.go
 // 的「按字段类别判定」）：
 //
 //   - `Page.navigate` 的 `errorText` 是**协议枚举**：值域是 Chrome 的 net error 码
@@ -11,7 +11,9 @@ package browser
 //     像枚举就保留，散文一律丢弃；
 //   - `Runtime.evaluate` 的 `exceptionDetails.text` 是**页面自由文本**：页面的 JS 可以
 //     throw 任何东西 —— 包括它读到的 DOM 正文、地址栏里带 token 的 URL。⇒ 默认不带
-//     全文，按「带上限地带」处理：压平空白 + trace.RedactTextLimited 截断。
+//     全文，按「带上限地带」处理：压平空白 + trace.RedactTextLimited 截断；
+//   - 浏览器自己的 stdout/stderr 预览（launchoutput.go 的 `preview()`）也是自由文本：
+//     参数被拒时 Chromium 会把**本次 argv** 与地址原话打出来（`chromeOutputPreview`）。
 //
 // 🔴 两类守卫**不能互换**：拿 ErrorToken 去「清洗」自由文本是错的口径（它只会把整段
 // 话删掉，不是清洗）；拿 RedactTextLimited 去守枚举字段也不对（它不判形状，挡不住
@@ -96,3 +98,27 @@ func evaluateCause(raw string) string {
 	// 压平之后什么都不剩（对端只给了空白）：如实说「没给文本」，不假装异常无因。
 	return "页面异常（对端未给文本）"
 }
+
+// chromeOutputPreviewRunes 是浏览器 stdout/stderr 预览出镜时的 rune 上限：**600**
+// （= 12 行 × 50 rune）。
+//
+// 为什么是这个量级：预览的**行**预算已经是 12 行（chromeOutputMaxLines），50 rune 大致
+// 是一个短分句 —— Chromium 的抱怨句式是「原因在前」（`ERROR:...] 参数被拒：...`），
+// 所以 600 保得住原因那一句，又把「一整块转储」挡在模型可见的错误串之外。
+//
+// 为什么不沿用另外两档：80（`trace.RedactText` 摘要档）连**一行**浏览器日志都放不下；
+// 4096（`chromeOutputMaxBytes` 缓存档、网关日志页 maxLogMsgRunes）是「运维读全文」的
+// 量级，对浏览器可控的字段等于允许把 4KB 正文塞进工具结果。
+//
+// 为什么 600 不会把「到底说了多少」藏起来：本上限只压在**预览正文**上，调用方
+// （launchoutput.go）随后仍会追加「已截断，共 N 字节」——读者看到的永远是「这里有 600
+// rune 的原话 + 它其实说了 N 字节」，截断与量级都看得见。
+const chromeOutputPreviewRunes = 600
+
+// chromeOutputPreview 是浏览器 stdout/stderr 预览出镜前的唯一处理：凭据形状打码 +
+// 截断（清洗实现只有一份：trace.RedactTextLimited）。它服务**两个**读面 —— 失败日志的
+// `chrome_output` 字段与返回给调用方的错误串（launch.go 的 launchOnce），因此收敛在
+// preview() 里，两个读面不会判得不一致。
+func chromeOutputPreview(text string) string {
+	return trace.RedactTextLimited(text, chromeOutputPreviewRunes)
+}