feat: 实现消息提交防重配额授权与最小分发

docs/DEVIATIONS.md

@@ -278,7 +278,35 @@
 
 ## 消息 M
 
-暂无。
+### M1 2026-09-30
+
+1. **提交时分发做成最小正确版**  
+   - 原条款：DEVELOPMENT 7.3 步骤 8 / 7.4：`send_at` 已到则同一写操作内完整分发（停用拒绝、`queue_full`、`expire_at`/宽限、无接收者 `completed`、回执等）。  
+   - 实际做法：单聊只插一条 `pending`；群按当时 `group_members` 去掉发送者各插 `pending`；消息改为 `dispatched`。不设 `expire_at`，不检查接收端配额/在线/停用，不因无接收者改为 `completed`，不写回执，不唤醒推送循环。  
+   - 原因：M1 范围是提交；完整分发与推送属 M2。  
+   - 备选方案：M1 直接实现完整 7.4（抢 M2）。  
+   - 影响：到点消息已有投递行，但停用成员仍会有 `pending`；无成员群仍为 `dispatched` 且无投递；推送需等 M2。
+
+2. **请求频率突发容量写死为 100**  
+   - 原条款：DEVELOPMENT 6.10 每端每秒 50、突发 100；配置示例仅有 `requests_per_second`。  
+   - 实际做法：`Limits.RequestBurst` 默认 100；`requests_per_second<=0` 时不限速（便于测试）。速率桶挂在 `message.App` 的 `Submit` 入口；`ack`/`receipt_ack` 尚未实现故未接桶。  
+   - 原因：配置无独立 burst 字段。  
+   - 备选方案：配置增加 `request_burst`；由连接线在上行统一限流。  
+   - 影响：改 `requests_per_second` 不改突发；正式接线后若 N 线也限流可能双重计数。
+
+3. **未接线 `cmd/nixmsg`**  
+   - 原条款：可替换 T0.4 假实现。  
+   - 实际做法：新增 `message.App` 实现 `Submit`；保留 `Stub`；按任务隔离要求未改 `cmd/nixmsg`/`wire.go`。  
+   - 原因：本任务禁止改 `cmd/nixmsg`；总控接线或后续任务再换。  
+   - 备选方案：本任务直接改 `wire.go`。  
+   - 影响：进程内仍用 Stub，需显式构造 `message.New` 才能用真实提交。
+
+4. **防重键在、消息行已删时返回 `not_found`**  
+   - 原条款：防重命中返回原消息当前状态；未写明消息行已被清理时的提交重试行为（状态查询为 `not_found`）。  
+   - 实际做法：`send_keys` 指纹相同但 `messages` 无行时返回 `not_found`。  
+   - 原因：无法构造 `send_at`/`state`。  
+   - 备选方案：在 `send_keys` 冗余存结果快照。  
+   - 影响：保留期过后的重试不再幂等成功。
 
 ## 身份 I