refactor(gateway): 图片上限单一真源 —— 以 vision 硬顶为准，配置只能收紧（消除「网关照放、vision 拒」）

- 原状：网关与 vision 各有一份同值常量，且网关上限可由 CHAT_IMAGE_MAX_BYTES 调大 ⇒ 调大后
  **网关照放、vision 拒绝**（ErrImageTooLarge），base64/URL 路径上「调大配置」失效
- 修法：网关改为**引用 vision 的常量**（`vision.MaxInlineImageBytes` / `InlineImagePrefixAllowance` /
  `MaxInlineImageChars`，import 方向与既有的 voice 同层、不违规）；`chatImageLimitBytes` 语义＝
  「configured 生效但**钳在 vision 硬顶**」（只收紧不放宽）；默认口径直接用 vision 常量（不再自算）
- 复核：gateway 包测试绿（9 条 ChatImage，含默认逐字节同值、配 1 MiB 生效、配 8 MiB 被钳到硬顶且
  同一串在 vision 侧也 ErrImageTooLarge ⇒ 两侧同一答案）；**变异两点**（去掉钳位分支 → 断言红；
  再清空解析循环 → 实测复现「配 2× 硬顶时网关 200 放行」）均已还原
- 登记：真要支持 > 5 MiB 需给 vision 可注入上限（并把 /upload 的 5 MiB 一起改）；`.env.example`/`config.go`
  注释/`api-reference` 仍写「上限=CHAT_IMAGE_MAX_BYTES」未提钳位，待同步

internal/services/gateway/rest.go

@@ -12,6 +12,7 @@ import (
 	"git.yeij.top/AskaEth/Cyrene_v2/internal/persona/loader"
 	"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/loop"
 	"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/model"
+	"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/multimodal/vision"
 )
 
 // tokenTTL 是已签发 JWT 的有效时长。
@@ -104,7 +105,8 @@ type loginResponse struct {
 // 为视觉路径附带的可选 base64 data: URI 或 http(s) URL；
 // loop 把它经视觉/OCR 工具或主模型路由（design/06 §0）。
 // Image 受配置上限（CHAT_IMAGE_MAX_BYTES，默认与
-// POST /api/v1/upload 的 5 MiB 同口径）换算出的字符上限限制，
+// POST /api/v1/upload 的 5 MiB 同口径，且不超过 vision 解码层硬顶）
+// 换算出的字符上限限制，
 // 超限一律 400 image_too_large，不被静默吃下。
 // DeviceID 是客户端产出的发送浏览器/设备标识
 // （design/16 §4.5），例如 "web:chrome:a1b2c3"；它可选且按原样持久化。
@@ -139,37 +141,50 @@ type chatResponse struct {
 // 每页历史（GET /sessions/{id}/messages）与每次 WS history 回放都要
 // 把整段 base64 再传一遍（协同文档 G3）。
 //
-// 它只是默认值：生效上限由配置 CHAT_IMAGE_MAX_BYTES 经 chatImageLimitBytes 解析。
-const maxChatImageBytes = 5 << 20
+// 值直接取 vision 的权威常量（解码层 internal/runtime/multimodal/vision 按同一
+// 常量硬顶）：两处各写一份同值常量时，配置一放宽就会漂移成「网关照放、vision 拒」。
+// 它只是默认值：生效上限由配置 CHAT_IMAGE_MAX_BYTES 经 chatImageLimitBytes
+// 解析，且**只能收紧、不能放宽**。
+const maxChatImageBytes = vision.MaxInlineImageBytes
 
 // chatImagePrefixAllowance 是 data: URI 前缀（如 "data:image/png;base64,"）
-// 所占的字符余量。按常见图片 MIME 的最长前缀取整，不含 base64 载荷本身。
-const chatImagePrefixAllowance = 64
+// 所占的字符余量，取 vision 的同一常量（唯一真源），不含 base64 载荷本身。
+const chatImagePrefixAllowance = vision.InlineImagePrefixAllowance
 
 // chatImageCharsFor 把「解码后图像字节上限」换算为 image 字符串的字符上限：
 // base64 每 3 字节编码为 4 字符（膨胀 4/3），因此恰好 n 字节的整幅图编码后是
 // ceil(n/3)*4 = (n+2)/3*4 字符（这就是 (n+2)/3*4 的由来：余 1、2 字节时末组仍需
 // 补满 4 字符），再加 data: 前缀余量 —— 恰好 n 字节的合法图片绝不会被误拒。
-// 它是**唯一**的换算处：默认上限与配置上限都经它落地，不存在第二份膨胀系数。
+// 默认口径（就是 vision 硬顶）直接返回 vision.MaxInlineImageChars，配置出更小的
+// 上限时按同一条膨胀系数现算 —— 网关口径与解码层口径因此不可能漂移。
 //
 // 校验按**字符串长度**做，是因为入口层只有这一步是零分配的：vision 层要先
 // base64 解码整个字符串才拿到真实字节数（vision.decodeBase64 →
 // base64.StdEncoding.DecodeString），也就是先分配再报错。在入口层按长度拦下，
 // 超大字符串根本走不到解码那一步。
 func chatImageCharsFor(bytesLimit int) int {
+	if bytesLimit == maxChatImageBytes {
+		return vision.MaxInlineImageChars
+	}
 	return ((bytesLimit+2)/3)*4 + chatImagePrefixAllowance
 }
 
 // chatImageLimitBytes 解析本次生效的**解码后字节**上限：配置给了正数就用它，
-// 否则（未配置的零值、0、负数）回落到默认 maxChatImageBytes。语义被钉成「≤0 =
-// 用默认」而**不是**「禁用上限」——一张图能有多大只能有一个答案，配置不该把它
-// 变成无限；这同时保证「没配 CHAT_IMAGE_MAX_BYTES」的默认行为与引入该配置之前
-// 逐字节一致（同一张图此前能过、现在也能过，反之亦然）。
+// 但**钳到 vision 的硬顶为止**（配置只能收紧、不能放宽）；否则（未配置的零值、
+// 0、负数）回落到默认 maxChatImageBytes —— 语义是「≤0 = 用默认」而**不是**
+// 「禁用上限」，默认值等于 vision 硬顶，故默认行为与引入该配置之前逐字节一致。
+// 钳位是因为解码层按 vision.MaxInlineImageBytes 硬顶、读不到网关配置：这里若放行
+// 更大的值，base64/URL 路径就会出现「网关照放、vision 拒（ErrImageTooLarge）」，
+// 即「调大配置」在真实消费路径上失效（最大只到 5 MiB）；要真正支持更大的内联图，
+// 必须同时把上限透传进 vision 解码层（更大改动，不在本次范围）。
 func chatImageLimitBytes(configured int) int {
-	if configured > 0 {
-		return configured
+	if configured <= 0 {
+		return maxChatImageBytes
 	}
-	return maxChatImageBytes
+	if configured > vision.MaxInlineImageBytes {
+		return vision.MaxInlineImageBytes
+	}
+	return configured
 }
 
 // chatImageTooLargeCode 是 image 超限时返回给客户端的机器可读错误码，
@@ -247,8 +262,9 @@ func (s *Server) handleChat(w http.ResponseWriter, r *http.Request) {
 	// image 上限在**任何**解码/落库之前检查，且对同步与 stream 两条分支
 	// 都生效（stream 只是把该轮转发给 ws.chat，转发前必须先拒），
 	// 因此超限的图片既不进模型、也不落库、也不会被历史回放重传。
-	// 上限来自配置对默认值的解析（CHAT_IMAGE_MAX_BYTES，≤0 = 用默认 5 MiB），
-	// 换算成字符上限只有 chatImageCharsFor 一处。
+	// 上限来自配置对默认值的解析（CHAT_IMAGE_MAX_BYTES，≤0 = 用默认 5 MiB，
+	// 且钳到 vision 解码层硬顶为止 —— 配置只能收紧），换算成字符上限只有
+	// chatImageCharsFor 一处。
 	// 日志只带长度与上限，绝不带图片内容。
 	limit := chatImageCharsFor(chatImageLimitBytes(s.cfg.Server.ChatImageMaxBytes))
 	if err := checkChatImageSize(req.Image, limit); err != nil {