优化: 项目管理阻塞去重 + normalize_path/白名单抽公共

- collect_sample/detect_stack 三处包 spawn_blocking 防 async 阻塞 + bind_directory 补漏一处
- normalize_path 抽公共到 df-project/scan（删 project.rs 本地 + tool_registry inline 闭包）
- tool_registry update_project 复用 crud is_allowed_column（删硬编码白名单，与 CRUD 同源）

Sprint 20 审查 ③④⑤。todo 记 A/B 验证发现的 2 项非阻断（T-09 idea 补偿删级联 / T-10 normalize_path 同步）

crates/df-storage/src/crud.rs

@@ -278,7 +278,7 @@ impl SettingsRepo {
 /// projects 的 "name" 会在校验阶段拒绝,而非靠 SQLite "no such column" 兜底报错)。
 /// 专用更新路径的列不列入:knowledges.embedding(set_embedding)、projects.deleted_at
 /// (soft_delete/restore)。未登记的表返回 None → 放行(仅靠参数化防注入,向后兼容)。
-fn allowed_columns_for(table: &str) -> Option<&'static [&'static str]> {
+pub fn allowed_columns_for(table: &str) -> Option<&'static [&'static str]> {
     Some(match table {
         "ideas" => &[
             "id", "title", "description", "status", "priority", "score", "tags", "source",
@@ -339,6 +339,16 @@ fn validate_column_name(field: &str, table: &str) -> Result<()> {
     }
 }
 
+/// 是否允许更新某表的某列(按表隔离白名单)。未登记表返回 false(保守拒绝,防误传)。
+///
+/// 供 AI 工具层等外部调用方复用 CRUD 白名单,避免双份字段列表不同步。
+pub fn is_allowed_column(table: &str, field: &str) -> bool {
+    match allowed_columns_for(table) {
+        Some(cols) => cols.contains(&field),
+        None => false,
+    }
+}
+
 // ============================================================
 // 时间工具
 // ============================================================