feat(admin): 任务观测支持下钻 —— 轨迹/输出/评测/DSL

全平台任务页此前只能看列表，点进去什么都没有。现在点一行开抽屉，四个页签：
执行轨迹、最终输出、评测明细、提交时的 DSL。不含审批操作——审批是客户端
用户的行为（桌面端 ApprovalBar），管理端只做观测。

不复用用户面的 /tasks/:id/replay：Task/Eval 都在租户插件作用域内，用请求 ctx
查别的租户的任务不会报错，而是静默返回空输出/空轨迹，UI 上表现为"这任务没
产出"，比报错难查得多。新增 admin 端点走 WithoutTenant。

数据取自 sundynix_task 收尾落库的 output/trace 列，不依赖 Redis 流（10min TTL）。
所以这是复盘视图，运行中的任务轨迹为空——UI 里明确写出来，免得被当成轨迹丢了。

修的两处与测试环境失真有关（写测试时暴露的）：
  - 测试库没配 NamingStrategy，与 OpenPostgres 不一致：多数模型有显式
    TableName() 碰巧对得上，但 Task 这类没有的会退化成 "tasks"，导致写裸
    SQL 的查询在测试里查无此表。现已对齐 sundynix_ 前缀 + 单数表名。
  - graph 的 ::text 换成标准 cast(... as text)：前者是 Postgres 专有，
    换掉后这条查询才能被内存库覆盖。

新增 5 组测试，其中一组专门先证明"租户过滤在测试环境里确实开着"——否则
"跨租户能读到"的断言可能只是因为插件没装，属于假过。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

sundynix-gateway/internal/handler/billing_pay.go

@@ -2,6 +2,7 @@ package handler
 
 import (
 	"context"
+	"encoding/json"
 	"net/http"
 	"strconv"
 	"strings"
@@ -332,6 +333,25 @@ func (h *Handler) AdminTasks(c *gin.Context) {
 	c.JSON(http.StatusOK, gin.H{"tasks": rows, "counts": h.db.TaskStatusCounts(ctx)})
 }
 
+// AdminTaskDetail: GET /api/v1/admin/tasks/:id —— 任务下钻（跨租户）。
+// 不复用用户面的 /tasks/:id/replay：那条走请求 ctx，受租户插件过滤，管理员看别的租户
+// 的任务会静默拿到空输出/空轨迹（不报错），排查时极具误导性。
+func (h *Handler) AdminTaskDetail(c *gin.Context) {
+	d := h.db.TaskDetail(c.Request.Context(), c.Param("id"))
+	if d == nil {
+		c.JSON(http.StatusNotFound, gin.H{"error": "任务不存在"})
+		return
+	}
+	// trace 是收尾时落库的事件数组原文；空串是正常情况（任务未跑完/早于该功能上线）。
+	exec := []json.RawMessage{}
+	if d.Trace != "" {
+		if err := json.Unmarshal([]byte(d.Trace), &exec); err != nil {
+			exec = []json.RawMessage{} // 脏数据不该让整个下钻 500
+		}
+	}
+	c.JSON(http.StatusOK, gin.H{"task": d, "exec": exec})
+}
+
 // AdminSpaces: GET /api/v1/admin/spaces?limit= —— 全平台空间观测（跨租户）。
 func (h *Handler) AdminSpaces(c *gin.Context) {
 	limit := 200