设计安全的入站消息权限模型，明确禁止远程 Shell

## 背景

通用 Chatbot 将来可能接收入站消息，但不能把微信变成 Mac 远程控制通道。

## 范围

- 建立仅限扫码绑定本人的身份模型和 deny-by-default 动作授权。
- 为入站消息、重放、过期登录、群聊和伪造身份建立威胁模型。
- 明确禁止远程 Shell、任意命令、Codex 远程控制和沙箱绕过。

## 验收标准

- [ ] 权限矩阵和威胁模型进入版本库。
- [ ] 所有可执行动作必须显式注册并声明最小权限。
- [ ] 未授权、重放和跨用户消息具有自动化拒绝测试。
- [ ] 当前版本仍默认单向发送；启用入站能力需要独立人工确认。