feat: v0.4.1 质量加固版 — 工程化基线 + 安全加固 + 测试补齐 + 体验升级

工程化（从零到一）:
- 新增 Gitea Actions CI（debian-latest）：类型检查 + Lint + 单元测试 + 产物编译验证
- 新增 husky + lint-staged 预提交钩子（lint-staged + typecheck 门禁）
- 移除坏脚本 test:e2e（无 Playwright 配置必失败）；prebuild 改用内置 fs.rmSync
- 依赖清理：移除死依赖 sql.js(2MB)/@playwright/test，@types/shell-quote 移至 devDependencies

安全加固:
- PolicyEngine 频率限制按会话隔离（多会话并发不再互抢配额）
- ConfirmationHook 拒绝记忆加 10 分钟 TTL + 恢复询问入口（新增 2 个 IPC 通道）
- Windows run_command 白名单工具（git/node/npm/npx/pnpm/yarn/tsc）改走 cmd.exe /c + 参数数组执行，收窄 shell 注入面
- web_search 四引擎 HTML 解析迁移 node-html-parser（结构化主层 + 正则降级）

缺陷修复（测试驱动发现）:
- mapError 大小写缺陷：网络错误码永远落入 UNKNOWN 无法触发重试
- 搜狗解析器自我过滤：相对链接补全后又被 sogou.com 过滤导致结果全丢
- 百度复合类名重复收录：class="result c-container" 被双重匹配

测试补齐（113 → 194 用例）:
- 新增 5 个测试文件：sse-stream / base-adapter / confirmation-hook / ipc-agent 编排链路 / web-search 解析器
- 覆盖 sendMessage 全分支、SSE 流解析、错误映射、确认钩子竞态/超时/批量审批

体验升级:
- OutputValidator 验证结果可见化（VALIDATION 流事件 → 聊天流提示卡）
- SettingsModal 巨型组件拆分（1503 行 → 10 个文件，可独立维护）
- MessageList 接入 react-virtuoso 真虚拟滚动（千条消息恒定开销）
- MCP 新增 streamable HTTP 传输支持（SDK 内置传输 + DB 迁移 6 + UI 双模式）

electron/ipc/tools.ts

@@ -57,7 +57,12 @@ export function registerToolHandlers(ctx: IPCContext): void {
       log.warn('[IPC] tool:confirmationResponse rejected: invalid data');
       return;
     }
-    const req = data as { toolCallId?: unknown; approved?: unknown; remember?: unknown; autoExecute?: unknown };
+    const req = data as {
+      toolCallId?: unknown;
+      approved?: unknown;
+      remember?: unknown;
+      autoExecute?: unknown;
+    };
     if (typeof req.toolCallId !== 'string' || !req.toolCallId) {
       log.warn('[IPC] tool:confirmationResponse rejected: invalid toolCallId');
       return;
@@ -69,7 +74,9 @@ export function registerToolHandlers(ctx: IPCContext): void {
     const remember = typeof req.remember === 'boolean' ? req.remember : false;
     const autoExecute = typeof req.autoExecute === 'boolean' ? req.autoExecute : false;
     confirmationHook.resolveConfirmation(req.toolCallId, req.approved, remember, autoExecute);
-    log.info(`[CONFIRM] Tool ${req.toolCallId} ${req.approved ? 'approved' : 'denied'}${remember ? ' (remembered)' : ''}${autoExecute ? ' (autoExecute)' : ''}`);
+    log.info(
+      `[CONFIRM] Tool ${req.toolCallId} ${req.approved ? 'approved' : 'denied'}${remember ? ' (remembered)' : ''}${autoExecute ? ' (autoExecute)' : ''}`,
+    );
   });
 
   // ===== v0.3.2: 批量工具确认响应（并行工具调用一次性审批） =====
@@ -86,7 +93,9 @@ export function registerToolHandlers(ctx: IPCContext): void {
     };
     // 严格校验 toolCallIds 数组
     if (!Array.isArray(req.toolCallIds) || req.toolCallIds.length === 0) {
-      log.warn('[IPC] tool:confirmationResponseBatch rejected: toolCallIds must be non-empty array');
+      log.warn(
+        '[IPC] tool:confirmationResponseBatch rejected: toolCallIds must be non-empty array',
+      );
       return;
     }
     // 每个元素必须是字符串
@@ -108,7 +117,9 @@ export function registerToolHandlers(ctx: IPCContext): void {
       remember,
       autoExecute,
     );
-    log.info(`[CONFIRM] Batch ${req.approved ? 'approved' : 'denied'}: ${resolved.length}/${req.toolCallIds.length} resolved${remember ? ' (remembered)' : ''}${autoExecute ? ' (autoExecute)' : ''}`);
+    log.info(
+      `[CONFIRM] Batch ${req.approved ? 'approved' : 'denied'}: ${resolved.length}/${req.toolCallIds.length} resolved${remember ? ' (remembered)' : ''}${autoExecute ? ' (autoExecute)' : ''}`,
+    );
   });
 
   // ===== v0.3.2: 拉取当前所有 pending 确认 =====
@@ -116,6 +127,22 @@ export function registerToolHandlers(ctx: IPCContext): void {
     return { success: true, data: confirmationHook.getPendingConfirmations() };
   });
 
+  // ===== v0.4.1: 会话内拒绝记忆管理（拒绝记忆带 TTL，支持手动恢复询问） =====
+  ipcMain.handle('tool:getRememberedDenials', async () => {
+    return { success: true, data: confirmationHook.getRememberedDenials() };
+  });
+
+  ipcMain.handle('tool:resetRememberedDenial', async (_event, toolName: unknown) => {
+    if (typeof toolName !== 'string' || !toolName) {
+      return { success: false, error: 'Invalid toolName' };
+    }
+    const reset = confirmationHook.resetRememberedDenial(toolName);
+    if (reset) {
+      log.info(`[CONFIRM] Reset remembered denial for tool "${toolName}" — will ask again`);
+    }
+    return { success: reset };
+  });
+
   // ===== v0.2.0: 持久化自动执行设置 =====
   ipcMain.handle('tool:setAutoExecute', async (_event, toolName: unknown, enabled: unknown) => {
     // M-44 修复: 校验 toolName 合法性和 enabled 类型，防止配置 key 污染