feat(gateway): 接入计划审批 RPC

[Yumiue]

背景

计划模式已经能生成带 plan_id 与 revision 的 draft 计划，但 Web 端缺少一条经过 Gateway 的显式审批通道。用户同意计划后只能继续发送普通文本推动执行，计划审批语义无法被协议层校验，也无法稳定处理 revision 过期、计划 ID 不匹配或状态非法等场景。

Closes #688

修改内容

• 新增 gateway.approvePlan JSON-RPC 方法与 approve_plan Frame Action，补齐参数归一化、payload 校验、ACL、metrics、registry 与 dispatch 接入。
• 新增 Gateway PlanApprovalRuntimePort 与 CLI bridge 适配，将计划审批请求收敛到 Runtime ApproveCurrentPlan，并把可预期业务拒绝映射为 invalid_action。
• 在 Runtime 计划审批逻辑中补充可判定错误，区分当前计划缺失、计划 ID 不匹配、revision 不匹配和状态非法。
• Web API 增加 approvePlan 调用；ChatPanel 对最新 draft 计划展示审批面板，支持以 default 或 bypass 权限模式批准后进入 build 执行，并在执行启动失败时提供重试入口。
• 更新 Gateway RPC 文档与 reference 文档，补充 gateway.approvePlan 的请求、响应和语义说明。

验证

• git diff --check
• go test ./internal/gateway ./internal/gateway/protocol ./internal/runtime
• go test ./internal/cli -run "ApprovePlan|ApproveCurrentPlan|GatewayRuntimePortBridge"
• cd web && npm test -- --run
• cd web && npm test -- --run src/api/gateway.test.ts src/components/chat/ChatPanel.test.tsx

已知情况

• go test ./... 在本地 Windows 环境存在与本次改动无关的既有失败：internal/cli 的 symlink 权限、临时 npm shim 与 web command 用例，internal/memo 的固定日期断言，以及 internal/tools/bash 的 shell 输出相关用例。上述失败未发生在本次新增审批链路的定向测试中。

[chatgpt-codex-connector]

Codex usage limits have been reached for code reviews. Please check with the admins of this repo to increase the limits by adding credits.
Credits must be used to enable repository wide code reviews.

[fennoai]

发现 2 个需要处理的问题：一个会让同一版 draft 计划失去再次审批入口，另一个会让 approvePlan 的无效 revision 在不同入口返回不同的网关错误码。

[codecov]

Codecov Report

❌ Patch coverage is 94.30894% with 7 lines in your changes missing coverage. Please review.

Files with missing lines	Patch %	Lines
internal/gateway/bootstrap.go	85.00%	3 Missing and 3 partials ⚠️
internal/cli/gateway_runtime_bridge.go	95.23%	1 Missing ⚠️

📢 Thoughts on this report? Let us know!

[Yumiue]

已补充计划审批链路的测试覆盖：

• Gateway bootstrap：覆盖 runtime port nil、可选计划审批端口缺失、从 frame.session_id 回填 session、invalid revision 分支。
• Gateway validate：覆盖 approve_plan payload 正常、缺失 payload/session_id/plan_id、invalid revision、payload shape 非法。
• MultiWorkspaceRuntime：覆盖 workspace not found 与底层 runtime 不支持 PlanApprovalRuntimePort。
• CLI bridge：覆盖 subject access denied，确保不会下发到 runtime approve。

本地覆盖率检查中新增函数已提升到：validateApprovePlanFrame/decodeApprovePlanPayload/MultiWorkspaceRuntime.ApprovePlan/requirePlanApprovalRuntimePort 100%，handleApprovePlanFrame 88.5%，bridge ApprovePlan 91.7%。

已验证：

• git diff --check
• go test ./internal/gateway ./internal/gateway/protocol ./internal/runtime
• go test ./internal/cli -run ApprovePlan
• cd web && npm test -- --run src/components/chat/ChatPanel.test.tsx src/api/gateway.test.ts