refactor: 全栈质量硬化

后端:
  - 权限系统重写: 全局→按 Session 隔离, 新增规则查询 API
  - 安全加固: 登录 IP 限流, Token 仅存 Cookie, bibcode 白名单校验
  - SSE 超时保护, 异步 I/O 迁移, 10+ 处静默 DB 错误改为显式日志
  - ar5iv 下标解析修复, parse_paper_row 去重, 优雅关闭

  前端:
  - useSyncScroll 重写: 段落 ID 映射修复中英错位
  - 全局竞态修复 (active 标志), libraryRef 闭包过期修复
  - ErrorBoundary + vitest 测试基础设施
  - Logo 组件提取, CustomSelect 泛型化, TabId 类型统一
  - ReaderPanel 自动视图模式, AIAssistantPanel 状态批处理

src/agent/runtime/executor/mod.rs

@@ -129,7 +129,7 @@ pub async fn execute_parallel(
     app_state: Arc<AppState>,
     hook_registry: &HookRegistry,
     permission_checker: Option<&PermissionChecker>,
-    session_permission_checker: Option<&std::sync::RwLock<PermissionChecker>>,
+    session_permission_checker: Option<&PermissionChecker>,
     denial_tracker: Option<&std::sync::Mutex<DenialTracker>>,
     checkpoint_manager: Option<&std::sync::Arc<CheckpointManager>>,
     tx: &mpsc::UnboundedSender<AgentStreamEvent>,
@@ -336,25 +336,23 @@ pub async fn execute_parallel(
 
             // 会话级权限检查（API 动态添加的规则，优先级高于环境变量规则）
             if let Some(session_checker) = session_permission_checker {
-                if let Ok(checker) = session_checker.read() {
-                    let session_result = checker.check(&prep.tool_name, Some(&prep.args));
-                    // 会话规则结果覆盖或升级
-                    match session_result {
-                        PermissionResult::Denied { reason } => {
-                            // 会话 Deny 强制覆盖
-                            perm_result = PermissionResult::Denied { reason };
-                        }
-                        PermissionResult::AskUser { message } => {
-                            // 会话 Ask 在 Allow 时升级
-                            if perm_result.is_allowed() {
-                                perm_result = PermissionResult::AskUser { message };
-                            }
-                        }
-                        PermissionResult::Allowed => {
-                            // 会话 Allow 仅覆盖 Allowed，保持 Deny/AskUser 不变
-                            // 避免覆盖工具级 check_permissions() 升级的 AskUser
+                let session_result = session_checker.check(&prep.tool_name, Some(&prep.args));
+                // 会话规则结果覆盖或升级
+                match session_result {
+                    PermissionResult::Denied { reason } => {
+                        // 会话 Deny 强制覆盖
+                        perm_result = PermissionResult::Denied { reason };
+                    }
+                    PermissionResult::AskUser { message } => {
+                        // 会话 Ask 在 Allow 时升级
+                        if perm_result.is_allowed() {
+                            perm_result = PermissionResult::AskUser { message };
                         }
                     }
+                    PermissionResult::Allowed => {
+                        // 会话 Allow 仅覆盖 Allowed，保持 Deny/AskUser 不变
+                        // 避免覆盖工具级 check_permissions() 升级的 AskUser
+                    }
                 }
             }