fix(integrations): 重启后机器人要能自己接回来

上一版把双进程抢会话修了，但生产重启后仍然不收消息：`start_all()` 是进程启动时的
查询，那一刻没有工作区上下文，`bot_channel` 的 RLS 把行全藏起来，一行都查不到，
于是"页面上显示已连接，实际上没人在拉消息"。

- 迁移 0016 补一条只读策略：`current_setting('app.bot_list') = 'on'` 时允许 SELECT
  （只开 SELECT，防止顺手拿它改别人的通道）；
- `start_all()` 走 `active_channel_ids()`，先设这个 GUC 再列通道；
- 补测试 `test_startup_sees_logged_in_channels`。

2.Design/ROADMAP-M0-M1.md

@@ -824,6 +824,13 @@
 2. **回话别再带站点链接**：`PUBLIC_BASE_URL` 是内网地址，手机上打不开；
    现在只回「已保存任务：…」／「已保存知识草稿：…」。
 3. **栏目名从「接入」改成「机器人」**：用户要的是「我和这个机器人说话」，不是「配置接入」。
+4. **重启之后机器人静默不收消息**：生产是 `gunicorn -w 2`，两个进程各跑一遍 lifespan，
+   同一个通道会被起两条长轮询（消息被一个消费、回复从另一个发出，游标互相覆盖）；
+   而且 `start_all()` 是"没有工作区上下文"的查询，被 RLS 全藏起来，一行都查不到。
+   - 租约：会话级 `pg_try_advisory_lock`，抢到的进程收，另一个每 10 秒重试；进程挂了连接断、
+     锁自动释放，备用进程接上。页面「接收中」只认抢到租约的那个。
+   - 迁移 `0016` 补一条只读策略：`current_setting('app.bot_list') = 'on'` 时允许 SELECT，
+     `start_all()` 先设这个 GUC 再列通道。
 
 ### 13.7 教训：第一版是猜的