fix(執行): 到期清單的路徑一律由呼叫端餵進來，並拒跑過舊的清單

判到期與執行是兩支腳本，中間靠一個檔案交棒。判到期那一支是被巡檢用 --out
叫的，輸出寫進那一輪自己的暫存目錄；而執行那一支留了一個預設路徑，指向助理
狀態目錄底下那一份。兩邊不是同一個位置。

於是執行那一支從上線到現在，每一輪讀的都是「上一次有人手動跑判定留下的那一
份」。實測那份清單在機器上放了 67 小時，每一輪都被拿去動手，其中一輪還跑了
一筆已經被移除的待辦——那一筆的識別碼在重新種入時換過了。

而它看起來完全正常。那份舊清單產生的當下是對的，內容剛好沒變，所以每一輪的
報告都合理。錯了 67 小時才顯形。

兩處改動。判到期那一步本來只把給人看的那個檔案轉出去，機器可讀的那一份被
吞掉了，現在一起印成 due_rows_file=。執行那一支拿掉預設值：少帶那個選項就
回用法錯誤，吵一次總比安靜地對舊資料動手好。

另外加一道時效保護。判到期與執行之間隔著呼叫端，那一段有可能斷掉——判定失敗
了而那一輪照樣往下走，或呼叫端餵進上一輪的路徑。門檻取心跳的過期門檻：那是
這台機器認定「一輪跑完的紀錄還算新鮮」的長度，一份比它還舊的到期清單本來就
不可能是這一輪產生的。讀不到門檻就退回 300 秒，跟心跳那一支的預設一致。

實測：不帶選項回 6，清單不存在回 2，兩小時前的清單回 2 且訊息帶出實際秒數與
門檻，新的空清單回 0；拿真機那份 67 小時前的舊清單餵進去，確實被擋下。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

tools/patrol.sh

@@ -205,6 +205,7 @@ WARN=0
 DUE_STATUS=fail
 DUE_RC=0
 DUE_MD=''
+DUE_ROWS=''
 DUE_NOTE=''
 DUE_TASKS=''
 DUE_EVENTS=''
@@ -912,6 +913,11 @@ due_scan() {
   JSC_HOME="$JSC_HOME" sh "$_due" scan --out "$RD/due" >"$RD/due.out" 2>"$RD/due.err" </dev/null || _rc=$?
   DUE_RC="$_rc"
   DUE_MD=$(sed -n 's/^due_file=//p' "$RD/due.out" 2>/dev/null | head -n1)
+  # 機器可讀的那一份也要轉出去。判到期與執行是兩支腳本，中間靠這個檔案交棒；不轉出去
+  # 呼叫端就只能靠預設路徑猜，而那個預設指向的是上一次有人手動跑 scan 留下的檔案。
+  # 實測踩過：那份舊清單在機器上放了六小時，執行那一支每一輪都對它動手，跑的是一筆已經
+  # 被移除的待辦，而且看起來完全正常——舊清單當時是對的，內容剛好沒變。
+  DUE_ROWS=$(sed -n 's/^rows_file=//p' "$RD/due.out" 2>/dev/null | head -n1)
   DUE_TASKS=$(sed -n 's/^tasks_due=//p' "$RD/due.out" 2>/dev/null | head -n1)
   DUE_EVENTS=$(sed -n 's/^events_new=//p' "$RD/due.out" 2>/dev/null | head -n1)
   case "$_rc" in
@@ -1157,6 +1163,7 @@ case "$CMD" in
     printf 'due_status=%s\n' "$DUE_STATUS"
     printf 'due_rc=%s\n' "$DUE_RC"
     printf 'due_file=%s\n' "$DUE_MD"
+    printf 'due_rows_file=%s\n' "${DUE_ROWS:-}"
     printf 'pending=%s\n' "$PEND_COUNT"
     printf 'events_total=%s\n' "$EV_TOTAL"
     printf 'events_bad=%s\n' "$EV_BAD"