新增: idea source 消息级溯源 + workspace_root 去固定根 + run_command 偏好修复

idea source 结构化(消息级溯源闭环 — 灵感来源 conv_msg:{id}):
- 新建 idea_source.rs(IDEA_SOURCE_AUTO_FILL_ENABLED + maybe_fill_idea_source 保守五条件:
  开关/create_idea/source 空(不覆盖 AI 填)/message_id 非 None/result.id)
- audit/mod low_risk + chat ai_approve 双执行路径接补全(create_idea Medium 审批)

workspace_root 去固定根(F-260619-03 收尾):
- is_authorized 删 workspace_root 固定放行(代码硬编码),改走 persistent/session 白名单
- default_with_root 保留(默认初始 persistent,首次免授权行为不变)
- 用户从白名单删工程根后也需授权(动态白名单完整语义)

run_command 偏好修复(db 分析:591ff4a0 run_command 31/56=55% 严重偏好):
- P1 描述收紧(明确仅命令执行 + 负向引导:读取 read_file/编辑 patch_file/列目录 list_directory/搜索 search_files)
- P2 ToolDomain::Exec(run_command 独立 domain,仅 Debug 含 Exec,Code/File/Search 不含)
- P3 注册顺序(run_command 放 File 层最后)+ DEBUG_RULES 加命令执行关键词

自验: df-ai 228(intent Exec)+ devflow 169(idea source)+ workspace EXIT 0

src-tauri/src/state.rs

@@ -341,7 +341,11 @@ impl AllowedDirs {
         Self { persistent: set, session: HashSet::new() }
     }
 
-    /// 路径是否被授权:workspace_root 始终授权 + persistent 或 session 任一 starts_with 命中即放行。
+    /// 路径是否被授权:persistent 或 session 白名单任一 starts_with 命中即放行。
+    ///
+    /// **workspace_root 默认在 persistent**(default_with_root 初始插入,reload_allowed_dirs
+    /// KV 未配时保持),故首次访问工程根免授权(向后兼容)。用户从白名单删除工程根后,
+    /// 工程根也需授权(动态白名单完整语义,F-260619-03 收尾:去掉代码硬编码固定放行)。
     ///
     /// **Phase C 黑名单优先**:即使白名单命中,若路径落入系统敏感目录(Windows
     /// `\Windows\System32` / `\Program Files\`;Unix `/etc /usr /bin /sbin /boot
@@ -355,10 +359,6 @@ impl AllowedDirs {
         if is_in_system_blacklist(candidate) {
             return false;
         }
-        let root = workspace_root_path();
-        if candidate.starts_with(&root) {
-            return true;
-        }
         self.persistent.iter().any(|d| candidate.starts_with(d))
             || self.session.iter().any(|d| candidate.starts_with(d))
     }