feat(gateway): 面板人工加记忆钉 long + skill 解析去回显 + 可观测读侧脱敏

三处遗留（M37/M38/M39）同落 internal/services/gateway：

① adminAddMemory 显式传 RetentionTier=long（主人 2026-10-26 裁定「人工动作
  默认 long」）。此前不传档位，面板典型输入（短寒暄/一次性祈使/时效查询/句首
  时点/进行中）会被 resolveRetention 判 temp 并写 7 天有效期 —— 主人在面板上
  亲手加的记忆会静默消失。只钉这一条入口，Store.Add 默认仍由规则判定
  （自动抽取路径不放宽）。

② adminInstallSkillPlugin 解析失败不再打 err.Error()：新建
  admin_plugins_skill_error.go，把失败折叠成「类别（yaml_syntax /
  yaml_type_mismatch / skill_invalid / skill_source）+ 行列号」，日志与 400
  响应用同一份摘要。解码器会把出错值前 7 个字符嵌进错误串（M38 #17），
  原样日志等于把上传内容写进 viewer 可读的日志面。

③ 读侧脱敏走既有 helper，不另写一套：
  - adminLogOf 的 msg 过 trace.RedactText（与写侧同一函数）；
  - adminSpanOf 先过 trace.SanitizeRecord（REST 尾部与 observability_trace
    推送帧在同一处收口）。⚠️ 有意改变 admin 响应内容：props 变白名单投影 +
    omitted 摘要；字段名与帧形状不变。行数/级别/时间戳/来源、span 的
    status/耗时/时间/名字一律保住。

测试（每条都验过「删掉实现 ⇒ FAIL」）：
  - 面板加记忆 ⇒ 落库 (retention_tier='long', expires_at='')；对照组证明同一句
    内容走 Store.Add 仍判 temp；
  - 非法 YAML 含哨兵 ⇒ 响应与日志均无哨兵、都有类别与 line 2（内联/文件/语法/
    来源四类）；
  - 日志页 msg 含 sk- 形状凭据 ⇒ [redacted]，level/source/time 与非敏感正文保留；
  - trace 响应 props 正文 ⇒ omitted Digest、args_summary 打码，排障字段原样。

验收：go build ./... / go vet ./... 全绿；go test -count=1 -race
./internal/services/gateway/... 全绿。未 push（按任务口径）。

internal/services/gateway/observability_trace.go

@@ -161,7 +161,25 @@ func (m MultiTraceWriter) WriteSpan(rec trace.SpanRecord) error {
 }
 
 // adminSpanOf 把 trace.SpanRecord 映射为驼峰式管理线上结构。
+//
+// 🔴 读侧脱敏（M42 #3，M38 #1 的读侧放大面）：入参先过 `trace.SanitizeRecord`
+// —— 与写侧（stderr 的 JSONL，trace.JSONRecorder）**同一份投影**，不另写一套。
+// 环形缓冲（ObserveSpan → traceBuf）持的是**原始**记录，因此 REST 尾部
+// （GET /api/v1/admin/observability/trace）与 observability_trace 推送帧这两条
+// 出图路径都必须在这里收口，否则面板就是「凭据与正文的最后一面」。
+//
+// ⚠️ 这是**有意的行为变更**（admin 面有意改变响应内容）：`props` 从原始值变成
+// 脱敏投影 —— 白名单（trace 包 safePropKeys）内的键逐值打码+截断，表外键折成
+// `omitted` 里的 Digest（留键名、留体积指纹、去正文），事件里的正文键同样折成
+// Digest。输出**字段名与帧形状不变**（id/parentId/name/kind/status/startedAt/
+// endedAt/durationNs/props/events 一个不改），客户端因此**不得依赖未声明的
+// props**（即不得假定某个表外键一定带原文）—— 契约口径本就是「props 只含已
+// 声明键」。
+//
+// 排障字段一律保住：status / 时间 / durationNs / name / kind 都不是内容面，
+// 原样透出；`omitted` 的存在还让「这次调用有多大输出」仍可回答。
 func adminSpanOf(rec trace.SpanRecord) AdminTraceSpan {
+	rec = trace.SanitizeRecord(rec)
 	sp := AdminTraceSpan{
 		ID:         rec.ID,
 		ParentID:   rec.ParentID,