fix(api-service): make image-generation tools account-capability aware

[MartyAlien]

问题

账号池加入不支持图片生成的中转站账号（如 Sub2api）后，本地网关默认会把 image_generation 工具注入到普通文本请求里。上游因为账号组没有生图权限，直接拒绝了整个请求：

403 {"error":{"message":"Image generation is not enabled for this group","type":"permission_error"}}

结果是 /v1/responses、/v1/chat/completions 和内置对话测试全部不可用——哪怕消息只是纯文本。v1.3.4 已经移除了 image_generation 的禁用开关，但错误提示还在引导用户去改一个界面里不存在的设置（#1176 也提过这一点，本次一并修正了文案）。

思路

与其像全局开关那样"一刀切"关掉生图（能生图的账号也会失去对话内生图的能力），不如让网关记住每个账号的生图能力，按账号下菜：

• 账号第一次被上游明确告知"没有生图权限"之后，网关会记下来。之后这个账号的文本请求自动不再带生图工具，纯文本照常可用；
• 能生图的账号不受任何影响，依然可以在对话里让模型画图；
• 明确要生图的请求，会优先去找能生图的账号；实在没有才体面降级。

变更

• 精确认定：只认"生图权限缺失"这一种错误（状态码 + 报文内容双重匹配），配额、鉴权、模型等其他 403 不会被误伤；
• 按账号学习：标记只保存在内存里，不落盘、不挂起账号（文本流量不受影响），重启后重新学习一次即可，成功生图后自动恢复；
• 自动降级：在不能生图的账号上，网关会主动剥掉生图工具声明（包括客户端自己带上的）再按纯文本转发，并在响应头带 x-agtools-image-degraded: 1 告诉客户端；
• 能力优先选号：/v1/images/* 或携带生图工具声明的请求，优先路由到能生图的账号；
• 换号重试：遇到生图权限 403 会自动换下一个账号重发一次；
• 明确报错：显式图片接口命中无能力账号时，本地直接返回 403 image_generation_not_enabled，不再透传中转站晦涩错误；
• 文案修正：错误提示改为描述自动降级行为，不再指向已删除的设置。

覆盖 Go sidecar（executor / auth / helps / main）与 Rust legacy 网关两条链路，双侧对称，均带单元测试。无新增配置项、无 UI 变更；手动请求头 x-agtools-disable-image-generation 的语义保持不变且始终优先。

验证

• go test ./internal/runtime/executor/... ./sdk/cliproxy/auth/... .：全部通过；
• cargo test --lib codex_local_access::tests（MSVC）：237 通过 / 1 失败——失败项 builds_upstream_websocket_url_from_custom_base_url 读取本机全局代理配置，属环境性既有失败，与本改动无关；
• 真机端到端（Sub2api 账号实测）：纯文本首请求 403 一次（学习）→ 重试成功且响应头带降级标记；带生图工具声明的对话请求自动剥工具降级成功；/v1/images/generations 返回本地明确的 403。

Fixes #1940