feat: support durable task cancellation without foreign keys

docs/api/worker-schema.md

@@ -17,6 +17,7 @@ Schema 根接受双向消息，调用方应根据方向选择更严格的定义
 | `#/$defs/resumeFrame` | 尝试归属恢复请求 |
 | `#/$defs/startFrame`、`renewFrame`、`finishFrame` | 开始、续租、结果报告 |
 | `#/$defs/welcomeFrame`、`assignmentFrame` | 注册确认与主动派发 |
+| `#/$defs/cancellationFrame` | 已选择通知的连接接收 task.cancel，无 reply_to |
 | `#/$defs/ackFrame`、`errorFrame` | 操作确认与公开错误 |
 
 除首条 hello 外，请求必须提供当前 session_id。请求不得包含响应专用字段，包括 `reply_to:""` 或 `error:null`。主动派发没有 reply_to；操作响应通过 reply_to 关联原消息。error 在注册失败时不带 session_id；会话内错误带 session_id，主动致命错误不带 reply_to。
@@ -29,7 +30,8 @@ ACK 的 body 根据原请求选择：worker.capacity → welcome，worker.resume
 - 结构体必填字段必须显式提供，包括 capacity=0、drain=false；缺少字段不能被解释为调用者明确选择零值。
 - epoch、sequence、revision 为规范十进制字符串：范围 1–18446744073709551615，无前导零和正号。SDK 使用 uint64，线上使用字符串。
 - instance_secret/lease_secret 必须是 32 字节秘密的严格无填充 base64url，长度 43；知道资源 ID 无法替代秘密。
-- 结果为非 null JSON；FAILED/UNKNOWN 必须携带稳定 error_code；SUCCEEDED 省略或使用空 error_code。
+- 结果为非 null JSON；FAILED/UNKNOWN/CANCELLED 必须携带稳定 error_code；SUCCEEDED 省略或使用空 error_code。
+- hello.cancellation_notifications 可选且默认 false；Lease 可返回 cancel_requested_at。CANCELLED 需要事务核验已保存意图；通知、取消后执行边界与升级顺序见 [取消契约](cancellation.md)。
 - finish.retryable 为可选布尔值，默认 false；true 仅允许 FAILED，Schema 与服务端都校验。派发任务可带 effect_uncertain=true，表示此前授权执行的效果尚未核实。业务重试条件见 [安全重试](retries.md)。
 - 返回时间使用 UTC RFC 3339，最多微秒精度。验证器应开启 format 断言以校验实际日历日期。