fix: KB 级联删「事务化」—— 失败不再留不可删孤儿（T4.F）

原为 best-effort：三库删失败只 log、MinIO 删错误全吞、PG 照删 → 删一半失败即在
向量/全文/图谱/MinIO 留下「PG 无记录、连 file_id 都查不到」的不可删孤儿。

改为「类事务」（跨库 2PC 不可行，退而求其次：不留不可恢复孤儿 + 失败可见可重试）：
- milvus.deleteByFile / bleve.deleteDoc / blob.Delete 改返回 error（原 void 吞错）
- rag.DeleteDoc 三库全试一遍（最大化清理）+ 聚合错误（原只回 Neo4j 的错）；三库删幂等
- gateway KbDeleteDoc 失败闭合：先删依赖存储(三库→MinIO)、PG 最后删；
  任一存储删失败 → 不删 PG、返 502「未删除请重试」（保留 file_id 供幂等重试）
- 语义翻转：从「总能从列表删掉但留孤儿」→「有孤儿风险就不删、报错可重试」

live：杀 mcp-go→删→502+文档保留；mcp-go 活→删→200+清空（清场僵尸进程后验证）

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

sundynix-gateway/internal/handler/kb.go

@@ -168,22 +168,30 @@ func (h *Handler) KbDeleteDoc(c *gin.Context) {
 		return
 	}
 	scoped := d.Owner + "/" + d.KB
-	// ① 三库按 file_id 级联删（失败不中断，避免半残；记录降级）。
+	// 「类事务」删除：先删依赖存储（三库/MinIO），PG 记录**最后删**。任一存储删失败 → 不删 PG、
+	// 保留记录报错让用户重试（三库/MinIO 删均幂等）；杜绝「PG 删了却在三库/MinIO 留下再也删不掉的孤儿」。
+	// ① 三库按 file_id 级联删。失败 → 保留 PG 可重试。
 	if res, e := h.bus.CallTool(c.Request.Context(), contract.ToolSubjectGo("kb_delete"),
 		&contract.ToolCall{Tool: "kb_delete", Args: map[string]any{"kb": scoped, "file_id": d.ID}}); e != nil || res == nil || !res.OK {
 		msg := "kb_delete 无响应"
 		if e != nil {
 			msg = e.Error()
-		} else if res != nil {
+		} else if res != nil && res.Error != "" {
 			msg = res.Error
 		}
-		log.Printf("[gateway] 三库删除降级 id=%s: %s", d.ID, msg)
+		log.Printf("[gateway] 三库删除失败，保留记录待重试 id=%s: %s", d.ID, msg)
+		c.JSON(http.StatusBadGateway, gin.H{"error": "存储删除失败，未删除，请稍后重试：" + msg})
+		return
 	}
-	// ② MinIO 原文。
+	// ② MinIO 原文。失败 → 同样保留 PG 可重试（三库已幂等清理，重试补删 MinIO+PG）。
 	if d.ObjectKey != "" && h.blob.Ready() {
-		h.blob.Delete(c.Request.Context(), d.ObjectKey)
+		if e := h.blob.Delete(c.Request.Context(), d.ObjectKey); e != nil {
+			log.Printf("[gateway] MinIO 删除失败，保留记录待重试 id=%s: %v", d.ID, e)
+			c.JSON(http.StatusBadGateway, gin.H{"error": "原文删除失败，未删除，请稍后重试"})
+			return
+		}
 	}
-	// ③ PG 元数据 + 双链。
+	// ③ PG 元数据 + 双链（最后删；到此依赖存储已清，PG 删成即整体一致）。
 	if e := h.db.DeleteDocByID(c.Request.Context(), owner, d.KB, d.ID); e != nil {
 		c.JSON(http.StatusBadGateway, gin.H{"error": e.Error()})
 		return