t182：老 config 抹除成 Workers AI＋雲端探測——leo 實測「無卡」的真因

leo 08-04 實測回報（更新 v0.15.5 後仍顯示 Gemini／丟 PDF 無卡），
查出來不是 Workers AI 不通，是**根本沒走到那條路**。三顆真 bug：

① 抹除只做一半（leo：「就要抹除改成用 Workers AI，如果保持 Gemini
   它不會改掉，那就是失敗的」）
   t181 只在 RunDirectOnce 改頂層記憶體值，但
   - makeAccountSubConfig 會把**帳號層**舊值蓋回來（t126「帳號層優先」）
   - 完全**沒寫回檔案** ⇒ 托盤是另一個行程，讀檔還是念 Gemini
   leo 的 config 正是頂層＋兩個帳號各留 "gemma"、無 explicit
   ⇒ 畫面顯示 Gemini、萃取也真的跑 Gemini。
   修：遷移移到 LoadDirectConfig（每次啟動必經），逐層抹除 + 寫回檔案。
   金鑰保留（Gemini 是選配不是廢除）。

② 驗證器擋掉自己的新預設
   `extractor 只能是 claude / gemma` ⇒ config 一旦寫成 workers-ai，
   daemon 直接載入失敗起不來。v0.15.5 已帶著這顆出貨。

③ 托盤標籤照 config 舊字串念（t178 的通則版）
   t178 只把 claude 這**一個**殘留值導向 Gemini，殘留 gemma 一樣脫鉤。
   改成與 direct.go 同一條判準：沒 explicit 就一律念「雲端 AI」。

＋ t182 雲端探測（leo 指定設計：「會去掃一次看雲端是否裝好，沒裝好就顯示
  workers AI 還沒通，一旦通了就顯示可用」）：ProbeWorkersAI 逐帳號探
  /portal/daemon/extract（送空 text，不燒 LLM 額度），結果寫進 status.json
  由托盤「狀態：」講白話。**不做靜默退回 Gemini**——那會讓用戶永遠
  不知道自己雲端沒更新。

實測證據（非 mock，打真實例）：
- youlin 實例萃真卡：3.67s，產出完整知識卡（一句話定義/要點/關鍵實體/關聯）
- 連測三次：3.51s / 3.34s / 3.59s（Gemini 實測 16.87s ⇒ 快約 5 倍）
- 兩個實例都已有 /portal/daemon/extract（皆回 400＝route 存在）
- 拿 leo 真 config 複本跑遷移：三層全抹成 workers-ai、金鑰留著、重讀仍是 workers-ai

測試：新增 direct_t182_test.go（抹除全層/寫回磁碟/主動選過不動/合法值/冪等）；
既有三則因預設變更而失效的斷言已更新（t108 二進位不出機的契約未放寬，仍綠）。
全套綠。

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

direct_extract_test.go

@@ -279,6 +279,15 @@ func TestMultiAccountInheritsExtractor(t *testing.T) {
 }
 
 // t108 Test C：extractor 空時，非 .md/.txt 檔禁止直送——標 failed 且絕不打任何 ingest 端點。
+//
+// 🔴 t182 更新（leo 08-04 起 workers-ai 成為預設）：`extractor:""` 已**不再**代表
+// 「舊制直送」——LoadDirectConfig/RunDirectOnce 會把它正規化成 workers-ai。
+// 要測「舊制直送模式擋二進位」，必須把 config 逼進那條路：這裡用 ExtractorExplicit
+// 明示、且不給任何可用引擎，才是真正的「無萃取器」狀態。
+//
+// ⚠️ 本測試守的契約沒變、也不准放寬：**原始二進位永遠不出用戶的電腦**。
+// workers-ai 路一樣守——它送的是 ConvertToText 之後的純文字（extract_workersai.go），
+// 不是 PDF 位元組本身。
 func TestExtractorEmptyBlocksNonTextDirect(t *testing.T) {
 	root := t.TempDir()
 	if err := os.WriteFile(filepath.Join(root, "report.pdf"), []byte("%PDF-1.4 機密原文"), 0o644); err != nil {
@@ -296,9 +305,11 @@ func TestExtractorEmptyBlocksNonTextDirect(t *testing.T) {
 		WatchFolders: []string{root},
 		Manifest:     filepath.Join(t.TempDir(), "m.json"),
 		CypherURL:    srv.URL, Namespace: "demo", APIKey: "demo",
-		Library:    "kb",
-		Extractor:  "", // 舊制直送模式
-		IngestWF:   "rag_ingest_direct",
+		Library: "kb",
+		// t182：明示「使用者選過、但沒有可用引擎」＝真正的無萃取器狀態。
+		// （不能只寫 Extractor:""——那現在會被正規化成 workers-ai，測不到這條防禦閘。）
+		Extractor: "gemma", ExtractorExplicit: true, GeminiAPIKey: "",
+		IngestWF: "rag_ingest_direct",
 		RemovedWF:  "rag_takedown_direct",
 		MaxRemoved: DefaultMaxRemovedRatio,
 	}
@@ -312,10 +323,9 @@ func TestExtractorEmptyBlocksNonTextDirect(t *testing.T) {
 	if len(results) != 1 || results[0].Status != "failed" {
 		t.Fatalf("results=%+v", results)
 	}
-	// t181：預設改走 workers-ai（免金鑰）後，「沒設 extractor」不再是失敗原因
-	// ⇒ 這隻壞 PDF 會停在**轉檔層**（更早、更正確的把關點）。
+	// t182：這裡是「選了 Gemini 卻沒有金鑰」⇒ 停在萃取層、誠實報缺什麼。
 	// 本測真正要守的契約沒變、也仍然綠：**PDF 不得被直送上雲**（上面的 serverCalled）。
-	if !strings.Contains(results[0].Error, "轉檔失敗") {
+	if !strings.Contains(results[0].Error, "gemini_api_key") {
 		t.Errorf("錯誤訊息不符：%q", results[0].Error)
 	}
 }