fix(read-isolation): botmux quoted 在隔离 bot 下可用 + 下载被引用消息的文件

[xu4wang]

⚠️ 依赖:stack 在 #387 之上

本 PR 依赖 #387（read-isolation 附件分桶）引入的 registerSelfFromCredFile / downloadResources / appId 分桶，基于其分支 pr/read-isolation-attachments 开出。请在 #387 之后 review/合并。在 #387 合入 master 前，本 PR 的 diff 会包含 #387 的改动；#387 合并后 GitHub 会自动收敛成仅剩本 PR 的增量（src/cli.ts cmdQuoted）。

问题

隔离 bot 的 sandbox 里 ~/.botmux/bots.json（含所有 bot 的 app_id/app_secret）被 read-isolation deny（必须 deny，否则跨 bot 凭证泄露）。这导致 botmux quoted 对隔离 bot 两处不可用：

1. Bot not registered：cmdQuoted → resolveSessionAppId → loadBotConfigs() 读 bots.json → 被 deny → 注册静默失败 → getMessageDetail 找不到已注册 bot → 抛 Bot not registered: <appId>。cmdHistory / cmdSend 早已用 send-cred 兜过这层，cmdQuoted 漏了。
2. 文件字节拿不到：即便修好 ①，被引用消息的文件资源也只返回 key+name；隔离 bot 无凭证自己调 Lark resource API 下载，botmux quoted 又没把字节落盘。

改动（仅 src/cli.ts 的 cmdQuoted）

1. 开头补 await registerSelfFromCredFile(); —— 用注入的 BOTMUX_LARK_APP_ID + 该 bot 自己 BOT_HOME 里的 send-cred.json 注册，不读 bots.json，与 cmdHistory / cmdSend 一致。
2. 渲染后对 rendered.resources 调 daemon 同款 downloadResources(appId, messageId, resources) —— 用上一步注册的 bot client（tenant token）把文件字节下到该 bot 自己的 appId 桶 attachments/<appId>/<messageId>/（read-isolation carve-out 允许读自己桶；sandbox 只 deny 文件读、不 deny 写），并把 attachments:[{type,path,name}] 塞进 quoted 的 JSON 输出，agent 直接读 path 即可打开文件。

影响面

• 只动 cmdQuoted，对非隔离 bot 无行为变化：registerSelfFromCredFile() 在无 send-cred 时 no-op，downloadResources 与直发消息附件走完全相同的既有路径。
• 复用已验证的 downloadResources（daemon 直发附件同款），文件类型/失败处理/needLogin 语义一致。

测试验证

• codex CLI 代码审查 两轮（先 register、后 download）均零 findings。
• 用户 live 实测：隔离 bot（cli_aab4eaea…）在群里引用回复一条文件消息 → botmux quoted <msgId> 先返回 resources（{type:file, key, name}），补下载后输出含 attachments[].path，隔离 bot 直接读该本地路径成功拿到文件内容（此前 Bot not registered + 文件不落盘）。
• tsc 通过。
• cmdQuoted 是 CLI I/O，暂无单测（需 mock getMessageDetail/downloadResources）；可按需补。

🤖 Generated with Claude Code