feat(386): 面板可回收存储空间，两步确认 + VACUUM 默认关（#386 第 4 条） - #410

解决与 #410（面板存储回收卡）的冲突：lib/client.js 的 zh/en 词典里，
本分支删掉了被 TokenFlowSection 取代的 LlmStatusCard 的 memory.status.llm* 键，
upstream 在同一区域新增了 MaintenanceCard 的 memory.status.maint.* 键——两者都是
增量，保留 maint.* 与 token.*、不复活已删除的 llm.*。README 徽章取上游计数后
由 sync-test-badge 重算为 1652。

面板路由 /api/dsh-mneme/maintenance/reclaim 与 Bearer 数据面
POST /maintenance/reclaim 底下是同一份 src/maintenance.js，但 HTTP 外壳一直是
整段复制的。于是 #410 修好面板侧之后，数据面还停在旧形态：窗口没有上界
（1e20 也是整数，maintenance 拿它算 now() - days * 86400000 再 toISOString()
抛 RangeError——而它发生在 readBody 的回调里，外层 try 那时已经退栈，调用方
拿到的是一个字节都没回，不是 500），确认门里那份 dry-run 报告同样没兜错。

口径（错误码字符串、默认值、报告形状、窗口上界、确认提示、warn 文案）现在只
写在新的 src/reclaim-http.js 里，两个入口都调 parseReclaimQuery /
parseReclaimJson / readReclaimFields / reclaimReply，各自只留鉴权与路径。

顺序也是契约的一部分：invalid-json → invalid-body → 503
maintenance-unavailable → 字段校验。端点整个没接线时报「窗口不合法」是误导
（调用方会去改窗口，改完照样 503），两侧都补了锁钉住这个先后。

防复发不靠注释（段头那句「改这里时那边一起改」正是漂移发生的地方），靠
test/reclaim-http.test.js 的静态锁：六个字面量在 src/api.js 与
src/api-standalone.js 里一个都不许出现，同时两个文件必须真的 import 共用模块
并调用它——光删字面量不接线等于把功能删了。

新增测试 14 条。11 条变异逐条打回坏状态全部转红。

Refs #411

origin/main（#410/#411 回收链）的 api-routes-gaps.test.js:811 把 planned 的
键清单冻结为 [archived_embeddings, dream_run_inputs]；#399 的蒸馏原文到期清理
（src/maintenance.js:103-114）有意把 distill_records 纳入 reclaim 报告——它是
本入口唯一的「真删内容」项，按 distilled_at 到期，有自己的保留期键
distillRecords.retentionDays。两边意图各自成立，按后者演进：扩清单并注明这份
锁防的是「路由层包一层 { report }」，不是冻结回收范围本身。

npm test 1659（1658 pass / 0 fail / 1 skip 原有）；双徽章同步 1659。

面板路由 /api/dsh-mneme/maintenance/reclaim 与 Bearer 数据面
POST /maintenance/reclaim 底下是同一份 src/maintenance.js，但 HTTP 外壳一直是
整段复制的。于是 #410 修好面板侧之后，数据面还停在旧形态：窗口没有上界
（1e20 也是整数，maintenance 拿它算 now() - days * 86400000 再 toISOString()
抛 RangeError——而它发生在 readBody 的回调里，外层 try 那时已经退栈，调用方
拿到的是一个字节都没回，不是 500），确认门里那份 dry-run 报告同样没兜错。

口径（错误码字符串、默认值、报告形状、窗口上界、确认提示、warn 文案）现在只
写在新的 src/reclaim-http.js 里，两个入口都调 parseReclaimQuery /
parseReclaimJson / readReclaimFields / reclaimReply，各自只留鉴权与路径。

顺序也是契约的一部分：invalid-json → invalid-body → 503
maintenance-unavailable → 字段校验。端点整个没接线时报「窗口不合法」是误导
（调用方会去改窗口，改完照样 503），两侧都补了锁钉住这个先后。

防复发不靠注释（段头那句「改这里时那边一起改」正是漂移发生的地方），靠
test/reclaim-http.test.js 的静态锁：六个字面量在 src/api.js 与
src/api-standalone.js 里一个都不许出现，同时两个文件必须真的 import 共用模块
并调用它——光删字面量不接线等于把功能删了。

新增测试 14 条。11 条变异逐条打回坏状态全部转红。

Refs #411

面板路由 /api/dsh-mneme/maintenance/reclaim 与 Bearer 数据面
POST /maintenance/reclaim 底下是同一份 src/maintenance.js，但 HTTP 外壳一直是
整段复制的。于是 #410 修好面板侧之后，数据面还停在旧形态：窗口没有上界
（1e20 也是整数，maintenance 拿它算 now() - days * 86400000 再 toISOString()
抛 RangeError——而它发生在 readBody 的回调里，外层 try 那时已经退栈，调用方
拿到的是一个字节都没回，不是 500），确认门里那份 dry-run 报告同样没兜错。

口径（错误码字符串、默认值、报告形状、窗口上界、确认提示、warn 文案）现在只
写在新的 src/reclaim-http.js 里，两个入口都调 parseReclaimQuery /
parseReclaimJson / readReclaimFields / reclaimReply，各自只留鉴权与路径。

顺序也是契约的一部分：invalid-json → invalid-body → 503
maintenance-unavailable → 字段校验。端点整个没接线时报「窗口不合法」是误导
（调用方会去改窗口，改完照样 503），两侧都补了锁钉住这个先后。

防复发不靠注释（段头那句「改这里时那边一起改」正是漂移发生的地方），靠
test/reclaim-http.test.js 的静态锁：六个字面量在 src/api.js 与
src/api-standalone.js 里一个都不许出现，同时两个文件必须真的 import 共用模块
并调用它——光删字面量不接线等于把功能删了。

新增测试 14 条。11 条变异逐条打回坏状态全部转红。

Refs #411

origin/main（#410/#411 回收链）的 api-routes-gaps.test.js:811 把 planned 的
键清单冻结为 [archived_embeddings, dream_run_inputs]；#399 的蒸馏原文到期清理
（src/maintenance.js:103-114）有意把 distill_records 纳入 reclaim 报告——它是
本入口唯一的「真删内容」项，按 distilled_at 到期，有自己的保留期键
distillRecords.retentionDays。两边意图各自成立，按后者演进：扩清单并注明这份
锁防的是「路由层包一层 { report }」，不是冻结回收范围本身。

npm test 1659（1658 pass / 0 fail / 1 skip 原有）；双徽章同步 1659。

origin/main（#410/#411 回收链）的 api-routes-gaps.test.js:811 把 planned 的
键清单冻结为 [archived_embeddings, dream_run_inputs]；#399 的蒸馏原文到期清理
（src/maintenance.js:103-114）有意把 distill_records 纳入 reclaim 报告——它是
本入口唯一的「真删内容」项，按 distilled_at 到期，有自己的保留期键
distillRecords.retentionDays。两边意图各自成立，按后者演进：扩清单并注明这份
锁防的是「路由层包一层 { report }」，不是冻结回收范围本身。

npm test 1659（1658 pass / 0 fail / 1 skip 原有）；双徽章同步 1659。

POST /api/dsh-mneme/share is the panel-facing half of the share pack. policy is
"token", not "token-write": a pack is a whole-library read (archived and
forgotten rows included, which share.js then filters), so it gates like /export
does -- the 2026-10 audit P0 was precisely this route family shipping a
library-wide read without an auth branch. GET answers 405: the route exists
because somebody presses the share key, not for the panel to poll.

Not one criterion lives here. The reply shape comes from shareReply, which is
why this handler can only differ from the future data-plane one in two ways:
the Content-Disposition header (sendJson takes a headers argument that
api-standalone.js does not have) and the warn callback. That second one matters
more than it looks -- shareReply swallows a throw and answers 500, mirroring
reclaimReply, and a 500 with no log line is the incident report that says only
"internal". It is wired to ctx.logger the way the reclaim route is.

`if (text === null) return` stays: readBody has already answered 413 itself when
the body passes 4 MiB, and parseShareBody(null) is a legal empty body, so
without the guard the handler packs the whole library and writes a second
response on a socket that already answered -- slow-stack#410's failure class.

Tests run on a file-backed store, following reclaimSetup. The harness feeds the
body bytes on a process.nextTick rather than before invoking the handler:
EventEmitter does not queue, so data/end emitted while no listener is attached
vanish and readBody's promise never settles (the test hangs instead of failing).

The panel route already answered through src/share-http.js; without this
half the CLI had only the host-internal face to talk to. GET answers 405
rather than falling through to 404 the way /maintenance/reclaim does —
slow-stack#411 allows the two surfaces to differ only in auth and path, so a
different status code would have been a third difference. The reply
builder is wrapped in a catch because the async chain here outruns the
file's synchronous try (the shape that made slow-stack#410 an unhandled rejection),
and the cross-surface anti-fork lock lands now that both faces are wired.

`parseReceiveBody` / `receiveReply` / `parseUndoBody` / `undoReply` + `SHARE_IMPORT_ERRORS`
（八码 → 400，冻结）住进 `src/share-http.js`：与出包侧同一条纪律——只回 {status, body}，
绝不写 res（两侧 sendJson 签名不同，写 res 留在各侧 handler 里才有一份实现喂两张脸）。
判据一条都不在本层：`validateSharePack` 由 service 的 importSharePack 自己调，这里再判一次
就是第二套口径，而「这个包合不合格」从此没有准信；失败靠 err.code 鸭子类型映射成状态码
（ShareImportError 刻意不从 service 再导出，跨模块的 instanceof 只在同一个实例内成立）。
dry-run 是缺省，唯一旋钮是 confirm===true：reclaim 手熟的人会把 dryRun 一起发来，把它读成
「要写」等于替收件人点头，所以认不出的值一律落回干跑，且传给 service 的布尔与答复里的
dry_run 永远同一个数。退出那侧不查码表——packId 的闸门在解析层，service 不抛带码的错，
真抛出来就是存储故障，补一张表只会成为 SHARE_IMPORT_ERRORS 的影子。

面板两条路由 POST /api/dsh-mneme/receive 与 /receive/undo，policy token-write，非 POST
一律 405：这**故意**与隔壁 /maintenance/reclaim（掉到末尾 404）不同——slow-stack#411 说两张皮只许差在
鉴权与路径，而它们的数据面双胞胎（C6）只认 405，状态码差一次就是第三处差别。外层 try 与
promise 链上的 .catch 两层都留：外层那个在 .then 的回调里已经退栈，slow-stack#410 的原始形态就是
「一个字节都没回」。readBody 的 null 卫兵一条都不少，413 之后第二次写响应就是双写故障。

test/share-receive-http.test.js 13 条：六条口径（码集从闸门跑出来双向比对，不重抄清单）
+ 七条装配锁（policy 归类、405、413 只写一次、503 赢过 500、warn 接 ctx.logger、日志环
自己坏了也须回一个 500、干跑一个字都不写、退出先清点再删）。变异 22 把全咬，其中三把专门
证明外层 try 与 .catch 各挡一类、两把证明本层不许重跑校验、一把证明 dry_run 不许与实参分家。
文件里的 src() helper 是给 C6 那条跨面静态锁备好的，此刻无消费者是刻意的顺序。

security-doc.test.js 按预检裁定留红 2 条（/receive、/receive/undo 还没进 SECURITY.md 那两行
中英清单）——C6 先补文档再接触发它的代码，这里不顺手改文档。npm test 2373/2370/1 skipped，
除这 2 条零失败；check-sync 平价、lib-smoke 6/6。

C5 的评审把两处裸调 warn?.() 判成「防抛的高度错了」：这一层从不抛应当是**层的契约**，
不是每个调用面的运气。守卫还回 src/share-http.js（warnSafely），三个构造器
shareReply / receiveReply / undoReply 全部经它记日志——对称本身就是要点，只给新加的两个
上守卫、出包那侧留一处裸调，下一个读者就会照那处裸的抄。日志环自己坏掉时答复照旧送出，
对面拿到的仍是那一个状态码，只是少了一条日志迹。

顺手修车道 A 的同级缺陷：面板 /share 只有外层 try，而它在 readBody 的回调里早已退栈，
回调里抛出的错没人接就是 unhandled rejection + 一个字节都没回（slow-stack#410 的原始形态）。补上
链上的 .catch，与下面 /receive 两条同一形状。

还回守卫之后有个必须承认的后果：C5 的第 13 条（宿主 logger 抛）不再能咬到面板的 .catch
——回调里根本不会再抛出来了。于是补了一把能独立走到 .catch 的锁：让 sink 在第一次
writeHead 就抛（真 socket 上「一个响应两写」的第二次 writeHead 正是这个形状，Node 在
writeHead 里就把头发出去），三条面板路由各自断言「rejection 必须为 null、答复恰好一次」。
共用层已被守卫封死，日志那条路走不到 .catch，这条链现在能被独立问到的入口只剩面自己写
答复那一步——锁的就是它。另加一条静态对称锁：层内裸的 warn?.( 只许出现一次（就在守卫
函数体里），warnSafely( 只许四处（一处定义 + 三个构造器）。

变异 6 把全咬：三个构造器各自退回裸调（含静态锁同时红）、三条面板路由各自删掉 .catch。
npm test 2377/2376/0 fail/1 skipped（本commit +4），check-sync 平价、lib-smoke 6/6。

POST /receive 与 POST /receive/undo 挂到 flat pathname 链上，紧接车道 A 的 /share。
本面只有 Bearer 一道门（除 GET /health 外人人都要带），没有 policy 名可用，也不出
Content-Disposition——这里的 sendJson 连 headers 参数都没有。判据一条都不在本面：包体
合格不合格住在 share.js 的闸门（由 service 的 importSharePack 调），错误码→状态与
dry_run 那一格住在 src/share-http.js。两张皮自此只剩鉴权、路径与面板独有的 logger/disposition
四处差别中的两处（slow-stack#411）。

非 POST 一律 405，与面板逐字同款：这**故意**与上面的 /maintenance/reclaim（掉到末尾 404）
不同，状态码差一次就是第三处差别。void + .catch，不留外层 try 兜底——那个 try 在 .then 的
回调里早已退栈；readBody 超限自己答 413 并 resolve null，那句 return 少了就是双写响应。

test/share-receive-http.test.js 加三条真装配用例：
- 数据面端到端（401 前门 → 干跑不写字 → confirm 落带包身份的外来行 → 重跑 created 0 →
  四张非 POST 脸 405 且带着 token 走，问的就是「405 不藏在 401 后面」→ 三个 400 码分家 →
  undo 先清点再物删 → 4 MiB 超限 413 且不出附件头）。fetch 一律带 3s 死线：删掉 405 那一支的
  变异探针实测挂满 305 秒才红，那是拖住整条 CI 腿而不是报回归。
- 数据面自己的 .catch：共用层从不抛、日志已被守卫吞掉之后，这条链唯一还能走到的入口只剩面
  自己写答复那一步，所以驱动挂在 server 上的那个 handler，让假 sink 第一次 writeHead 就抛。
  等不到答复（输给 3s 竞速）= slow-stack#410 的「一个字节都没回」。车道 A 的 /share 数据面同样补了一条
  （它一直带着 .catch，此前没有任何用例走得到）。
- 跨面反分叉静态锁：api.js 与 api-standalone.js 都必须调那四个共用构造器，且都不许自己写
  share-import-unavailable / invalid-kind / missing-pack 这些口径字面量。src() helper 至此有
  了消费者，不再是留着当装饰的死码。

另办 C5 遗留的 Minor：码集不再只对着 SHARE_IMPORT_ERRORS 手抄清单——夹具的必需集合由
「映射表的键 ∪ 从 src/share.js 的 validateSharePack 源码扫出的 error 字面量」推出来，
闸门多一格而表没登记（那格会静默落进 500，把发件人的坏包报成我们的故障）、表里有死码，
两个方向都会当场转红（探针 Q6/Q7 各自咬下）。

变异 8 把全咬：Q1 数据面删 .catch、Q2 少 text===null 卫兵（实测报 ERR_HTTP_HEADERS_SENT）、
Q3 非 POST 掉回没人应答、Q4 面上自己重写 unavailable 字面量、Q5 两条路径的解析器接反、
Q6 闸门加码不登记、Q7 表加死码、Q8 数据面 /share 删 .catch。红→绿可复核：把
src/api-standalone.js 退回本任务前的版本，真 HTTP 那条以 404≠200 红、静态锁以
「api-standalone.js must call receiveReply(」红。npm test 2381/2380/0 fail/1 skipped（+4），
check-sync 平价、lib-smoke 6/6。

1. 摘要分三类报数：undefaulted 既不在「面板能改」也不在「只能改文件」里，只填 {file}
   会与展开后的清单对不上。
2. bootstrapReply 的 catch 里裸调 warn，宿主 logger 抛错会让请求一个字节都回不去
   （#410 同类现场）；按 share-http.js 的 warnSafely 收进层里，而不是每个调用面各兜一次。
3. bootstrapFromDirectory 又 trim 一次，把协议层「回传原串、交给 fs 报错」变成空话：
   首尾带空格的路径会被静默读成去掉空格的那个目录。只 trim 判空，路径原样交给 statSync。
4. 引导成功路径不复位 busy（900ms 提示期按钮不该重新可点），定时器句柄进 useRef
   并在卸载时清掉，免得第二次提交的结果写进已卸载的组件。
5. 目录输入框在请求在飞时 disabled：否则提示会贴在改后的输入框旁，却对应上一个目录。
6. 父组件持有 bootstrapBusy：菜单按钮在请求进行中不卸弹层，否则绕过弹层自己那两道
   busy 锁。
7. 搜索 effect 依赖补 reloadKey：导入/引导/接收成功只递增它，少了这一格，搜索词不变
   就看不到刚进来的新行。

顺带把 api-standalone.js 的 POST /bootstrap 改为复用 bootstrap-http.js 的三个函数
（#411：两张皮只许剩鉴权与路径不同）。