[code-review] swarm SendToTeammate/GetTeamResults use team pointer after releasing m.mu: TOCTOU vs DeleteTeam/ShutdownTeammate silently drops messages

[topcheer]

文件: internal/swarm/manager.go L609-621（SendToTeammate）、L740-747（GetTeamResults）

问题描述
m.mu 下取 team 指针后解锁再操作。与 DeleteTeam/ShutdownTeammate 并发时：消息可投进已被 cancel 的 teammate Inbox，runner 已退出不消费，SendToTeammate 返回 nil 静默成功。对比 ShutdownTeammate 自身（L520-524 在 tm.mu 下同步 cancel+移除）与 #2121 对 SpawnTeammate 的同类修复，修复模式已存在而 Send 路径未用。

触发场景
leader 并发 SendToTeammate(team, tm, msg) 与 DeleteTeam(team)：Send 在 L616 解锁后被调度让出；DeleteTeam 完成移除+cancel；Send 恢复后消息投递成功返回 nil，实际无人消费。

修复建议
投递操作纳入 team 生命周期临界区（team.mu 下校验 teammate 存活 + 投递原子化），或对已 cancel 的 teammate inbox 投递返回错误。

严重程度: medium（并发窗口窄，但后果为静默消息丢失 + 假送达）

来源: cron-1 深度审查，初审 sa-133 + 独立复核 sa-134 双重确认

[topcheer]

【认领】复核结论与修复认领（本轮限额 1/2）：

复核（半真）：

• ✅ 真半段：SendToTeammate 在 m.mu 释放后操作 team 指针——m.mu.Unlock() → team.getTeammate → 无锁 tm.Inbox <- msg 全段与 DeleteTeam/ShutdownTeammate 无互斥。调度让出窗口内 DeleteTeam 完成移除+cancel 后，消息仍可投进已死 inbox 且返回 nil（假送达）。对照 [code-review] swarm lifecycle races: SpawnTeammate re-locks without re-validating team existence (ghost teammate invisible to List/Send/Shutdown) and late idle-emit resurrects a deleted results entry after ShutdownTeammate (both microsecond windows, probe-confirmed code-level) #2121 对 SpawnTeammate 的同类修复（"hold BOTH locks across the existence check and the insert"，L415-425 注释明载 SendToTeammate 曾是 ghost 消费方之一），修复模式确实已存在而 Send 路径未用。
• ❌ 不实半段：GetTeamResults（L740-747）为 m.mu.Lock() + defer m.mu.Unlock() 全程持锁，/team 指针获取与遍历均在锁内，不存在所述 TOCTOU。该函数指控撤回。

拟修复（复用 #2121 双锁模式，锁序 m.mu→team.mu.RLock→tm.mu 与 DeleteTeam 同序）：存在性检查+ctx 取消感知（tm.ctx.Err()/ShuttingDown 状态）+投递全程纳入生命周期临界区，已 cancel teammate 投递返回错误；确定性探针钉"投给已 cancel 未移除 teammate"场景 FAIL→PASS。

[topcheer]

已修复（分支 fix/issue-2788，FRESH 队列等 PR 窗口，暂不关闭）。

复核结论（半真）：

• ✅ 真半段 SendToTeammate TOCTOU：已修复（见下）。
• ❌ 不实半段 GetTeamResults（L740-747）：该函数为 m.mu.Lock() + defer m.mu.Unlock() 全程持锁，team 指针获取与遍历均在锁内，不存在所述竞态——该半段指控撤回，不动。

根因（真半段）：SendToTeammate 在 m.mu.Unlock() 后操作 team 指针——teammate 存在性检查与 Inbox 投递全段无互斥。并发 DeleteTeam/ShutdownTeammate 完成移除+cancel 后，被调度让出的 Send 恢复时消息仍可投进已死 inbox（runner 已退出无人消费）且返回 nil——假送达+静默丢失。#2121 对 SpawnTeammate 的修复注释明载同型竞态与双锁模式（"hold BOTH locks across the existence check and the insert"），Send 路径未同步应用。

改动（复用 #2121 模式，锁序 m.mu→team.mu.RLock→tm.mu 与 DeleteTeam 同序）：存在性检查+投递全程纳入生命周期临界区；增加取消感知——mid-shutdown 态（cancel 已发、removeTeammate 未及）的 teammate 拒收并返回错误；Inbox 投递本为 select/default 非阻塞，锁内投递不会滞留锁。错误路径（team/teammate 不存在、inbox 满）语义不变。

验证：新增 zz_issue2788_test.go 三探针——①已 cancel 未移除 teammate 拒收+死 inbox 零残留（修复前 FAIL 钉根因：假送达返回 nil）②活 teammate 正常投递回归守卫 ③错误路径保持。internal/swarm 全包测试绿 + -race 定向（Send/ShutdownTeammate/DeleteTeam 族）绿 + build/gofmt 净。