fix(config): never let app.json I/O stop startup or skip releasing the workspace

An app.json that exists but cannot be read, or a .bak that cannot be written,
now yields defaults instead of an unhandled exception before the main window
exists. A failed write at exit is logged and ignored, and the session is
disposed in a finally block, so the lock and connection are always released.

docs/PLAN.md

@@ -16,7 +16,7 @@
 - 网络共享明确不支持；命令行参数边界；macOS 无参启动行为写入文档（§2.3、§4.1、附录）
 - 补充：导出转义规则、卡片列表虚拟化、模态窗口 FlowDirection、`Resources` 类名使用规则、CI osx-x64 运行器（§5、§7、§8）
 - 依赖：Avalonia 11.3.6 → 11.3.22，Semi.Avalonia 11.2.1.10 → 11.3.22（§7）
-- 实现回补：搜索括号嵌套上限 64 层、单个表达式至多 256 个原子，空短语、短语紧贴文本、`key:` 后空白均为非法（§6.1、§6.2）；导出表格单元格转义 `\`（§5.8）；初始化中途锁冲突进锁冲突页、数据库文件缺失不静默新建（§4.4）
+- 实现回补：搜索括号嵌套上限 64 层、单个表达式至多 256 个原子，空短语、短语紧贴文本、`key:` 后空白均为非法（§6.1、§6.2）；导出表格单元格转义 `\`（§5.8）；初始化中途锁冲突进锁冲突页、数据库文件缺失不静默新建（§4.4）；app.json 读不出 / 备份写不出 / 退出写盘失败均不阻断启动与退出（§4.3）
 - 里程碑：标注 M0–M4 已完成，新增 **M4R（v1.9 回补）**（§9）
 
 ## 1. 项目概述
@@ -142,6 +142,8 @@ card_tags: (card_id, tag_id) 复合主键，双向 ON DELETE CASCADE
   - 文件缺失 → 默认值启动照常运行（下次脏退出时自然创建）
   - JSON 本身无法解析 → 备份为 `app.json.bak`（覆盖旧备份）→ 以默认值启动
   - JSON 完好但个别字段非法（未知枚举值、未知语言、列宽越界 160–720、类型不符等）→ **仅该字段回退默认值**，其余字段保留，不生成备份
+  - 文件存在但无法读取（IO / 权限错误）→ 以默认值启动；`.bak` 备份写不出时跳过备份，照常以默认值启动
+- 退出写盘失败（IO / 权限错误）→ 忽略，等同丢失当次会话的设置变更；无论写盘成败都释放工作区锁与连接
 
 ### 4.4 全窗口错误页体系