feat(mail): SRC-11 geschlossener FacetField-Typ statt Whitelist-Liste

fields.go: neuer Typ FacetField mit vier geschlossenen Konstanten
(FacetFieldSender/Mailbox/AttachmentType/Tag). IsValid() entscheidet
über ein erschöpfendes switch/case statt eine []string-Liste zu
durchsuchen — genau der aus known-issues-archivmail.md #12 und
known-issues-archivdms.md #10 bekannte Fehler (dynamische Tabellen-/
Feldnamen nur durch eine fragile Whitelist-Funktion abgesichert) wird
damit strukturell vermieden: ein vergessener Listeneintrag kann nichts
mehr durchlassen, weil es keine durchsuchte Liste mehr gibt.
ParseFacetField ist die einzige vorgesehene Konstruktionsstelle für
FacetField aus einer externen Zeichenkette.

facets.go: FacetFilter.Field ist jetzt FacetField statt string,
buildFilteredMust prüft f.Field.IsValid() statt Listenmitgliedschaft
(isFacetField entfernt, es gibt keine Liste mehr, die die Entscheidung
trifft).

Alle Pflichtprüfungen mit echten Nachweisen: unbekannte/erfundene
Facettenfelder werden abgelehnt, alle vier realen Facettenfelder
funktionieren weiterhin, ein FacetField-Wert per direkter
Typkonvertierung (nicht über ParseFacetField) wird trotzdem zuverlässig
abgelehnt (Akzeptanzkriterium 2: Whitelist ist nicht die einzige
Absicherung), automatisiertes Code-Review bestätigt kein fmt.Sprintf in
facets.go/fields.go. Entscheidung dokumentiert: Mail-eigene
Implementierung, keine geteilte Utility mit dem DMS-Board (Prüfprotokoll).

Keine Regression, insbesondere mail/internal/savedsearch (Konsument von
FacetFilter) unverändert grün — go build/go vet/golangci-lint clean,
gesamtes Mail-Modul regressionsfrei getestet.

mail/internal/search/fields.go

@@ -35,12 +35,52 @@ const (
 	FieldOCRConfidence = "ocr_confidence"
 )
 
+// FacetField ist ein geschlossener Typ für die vier zulässigen
+// Facetten-/Filterdimensionen (SRC-11, Akzeptanzkriterium 2): die
+// Zulässigkeitsprüfung in facets.go läuft über ein erschöpfendes
+// switch/case auf diesem Typ, NICHT über das Durchsuchen einer Liste —
+// selbst ein vergessener Eintrag in einer Whitelist-Liste könnte dort
+// nichts mehr durchlassen, weil keine solche Liste mehr die Entscheidung
+// trifft. FacetFields (unten) ist nur noch eine abgeleitete
+// Aufzählungshilfe für Iteration, keine Prüfgrundlage.
+type FacetField string
+
+const (
+	FacetFieldSender         FacetField = FacetField(FieldSender)
+	FacetFieldMailbox        FacetField = FacetField(FieldMailbox)
+	FacetFieldAttachmentType FacetField = FacetField(FieldAttachmentType)
+	FacetFieldTag            FacetField = FacetField(FieldTag)
+)
+
+// IsValid entscheidet über Zulässigkeit als Facetten-/Filterfeld über
+// ein geschlossenes switch/case (Akzeptanzkriterium 2) statt eine Liste
+// zu durchsuchen.
+func (f FacetField) IsValid() bool {
+	switch f {
+	case FacetFieldSender, FacetFieldMailbox, FacetFieldAttachmentType, FacetFieldTag:
+		return true
+	default:
+		return false
+	}
+}
+
+// ParseFacetField wandelt eine externe Zeichenkette (z. B. aus einem
+// HTTP-Query-Parameter) in ein FacetField um — liefert false bei jedem
+// Wert, der nicht exakt einer der geschlossenen Konstanten entspricht.
+// Einzige vorgesehene Stelle, an der ein Client-Feldname überhaupt zu
+// einem FacetField werden kann.
+func ParseFacetField(raw string) (FacetField, bool) {
+	f := FacetField(raw)
+	return f, f.IsValid()
+}
+
 // FacetFields sind die je Kachel unterstützten Filterdimensionen
 // (Akzeptanzkriterium 1: Absender, Postfach, Anhangstyp, Tag — Zeitraum
 // läuft separat über FieldSentAt als Bereichsfacette, siehe facets.go).
-// Statische Liste — Aufrufer können ausschließlich diese Feldnamen als
-// Facetten-/Filterdimension angeben, kein beliebiger Client-Feldname.
-var FacetFields = []string{FieldSender, FieldMailbox, FieldAttachmentType, FieldTag}
+// Nur zur Iteration gedacht (z. B. "berechne alle Facetten") — die
+// Zulässigkeitsprüfung selbst läuft über FacetField.IsValid(), nicht
+// über Mitgliedschaft in dieser Liste.
+var FacetFields = []FacetField{FacetFieldSender, FacetFieldMailbox, FacetFieldAttachmentType, FacetFieldTag}
 
 // DocumentID berechnet deterministisch die Manticore-Dokument-ID aus
 // Mandant und Message-ID (FNV-1a, 64 Bit). Deterministisch statt einer