[1991][PR4] 装配已批准的 Pi 项目资源且保持 packages/extensions 关闭

父 Issue：#1991
前置：PR3 project trust 契约

## 目标
仅将 Cindy 明确批准的项目资源装配进 Pi 会话，使已批准项目 skill/settings 能真实加载，同时保留会话隔离和 packages/extensions 安全边界。

## 范围
- 按 PR3 契约在每会话隔离 configHome 中生成最小 trust/settings 或等效装配。
- 已批准项目的 `.pi/skills`、项目/祖先 `.agents/skills` 由 Pi 实际加载并由 `get_commands` 验证。
- 未批准项目保持现状：资源可发现但不加载，并显示原因。
- approval 撤销后下一次 session 恢复未批准行为。
- 保证并发 session 的 configHome、models.json、bridge 和权限互不污染。

## 安全硬门
- 不传无条件 `--approve`。
- 不链接整个 `~/.pi/agent`。
- 不继承用户 auth/provider/settings/trust。
- 不自动安装 project packages；extensions/packages 不在本 PR 开放。

## 验收
- [ ] 未批准/已批准/撤销三态测试通过。
- [ ] 已批准项目 skill 的 `get_commands` 结果为 loaded。
- [ ] 项目声明 packages 时没有 `npm install` 或第三方代码执行。
- [ ] 并发双 session 隔离测试通过。
- [ ] 所有失败原因可诊断，不能静默吞掉。

## 执行约束
独立 session、独立 worktree，必须基于合入 PR3 后的最新 `origin/main` 开始；PR 描述使用 `Refs #1991` 并关联本 Issue。