fix(P1.2-revue): батч-видимость не заводила в DLQ + TOCTOU лимит в SendMessageBatch

1. ChangeMessageVisibilityBatch при VisibilityTimeout=0 лишь инкрементировал
   Retry и НЕ переносил сообщение в DLQ (логика была только в одиночной версии).
   Вынесен единый метод Queue.ResetVisibilityAndTryDLQ — сброс видимости +
   DLQ-перенос. Обе версии привели к одному пути.
2. SendMessageBatch: проверка OOM-лимита была только по устаревшему снимку
   (RLock → Lock) — добавлена повторная проверка под per-queue Lock (TOCTOU).
3. Инварианты InFlightIndexes/ensureIndexes зафиксированы в док-комментариях.

Тест: TestChangeVisibilityBatch_MovesToDLQ (падает на старой логике, зелёный
на новой).

app/models/models.go

@@ -191,8 +191,12 @@ func (q *Queue) InitDuplicatation(deduplicationId string) {
 const compactDeadThreshold = 1024
 
 // ensureIndexes — ленивая инициализация/починка индексов.
-// При корректном состоянии — две дешёвые проверки; O(N) — если Messages
-// изменили в обход методов (загрузка из Redis, тесты, старый JSON-формат).
+// При корректном состоянии — две дешёвые проверки; O(N) — только если состояние
+// рассинхронизировалось (прямая замена Messages вне методов, загрузка из Redis,
+// старый JSON-формат). ВАЖНО (инвариант): оценка «в порядке» проверяет лишь
+// согласованность чисел и не перестраивает уже корректные map-индексы — поэтому
+// мутировать Messages ВНЕ методов (AppendMessage/RemoveIndex/Compact/Reset),
+// например менять ReceiptHandle на месте, НЕЛЬЗЯ.
 // Вызывать под write-блокировкой.
 func (q *Queue) ensureIndexes() {
 	if len(q.deadIdx) == len(q.Messages) &&
@@ -386,8 +390,43 @@ func (q *Queue) ClearInFlight(i int, receiptHandle string) {
 	}
 }
 
+// ResetVisibilityAndTryDLQ — сбрасывает видимость сообщения по индексу и, если
+// исчерпан MaxReceiveCount при настроенной DLQ, переносит его в DLQ и удаляет
+// из исходной очереди (tombstone). Возвращает false, если сообщение на самом
+// деле перенесено в DLQ (удалено из очереди).
+//
+// Единый путь для одиночной и батчевой ChangeMessageVisibility: раньше логика
+// DLQ была только в одиночной версии, а батч лишь инкрементировал Retry — из-за
+// этого retry-счётчик и DLQ-перенос могли расходиться.
+// Вызывать под write-блокировкой q. Перенос в DLQ выполняется под её блокировкой.
+// Возвращает: msgUuid, movedToDLQ.
+func (q *Queue) ResetVisibilityAndTryDLQ(i int, receiptHandle string) (msgUuid string, movedToDLQ bool) {
+	q.ensureIndexes()
+	q.ClearInFlight(i, receiptHandle)
+	msg := &q.Messages[i]
+	msg.ReceiptTime = time.Now().UTC()
+	msg.ReceiptHandle = ""
+	msg.VisibilityTimeout = time.Now().Add(time.Duration(q.VisibilityTimeout) * time.Second)
+	msg.Retry++
+	msgUuid = msg.Uuid
+	if q.MaxReceiveCount > 0 && q.DeadLetterQueue != nil && msg.Retry >= q.MaxReceiveCount {
+		dlqMsg := *msg
+		q.DeadLetterQueue.LockMu()
+		q.DeadLetterQueue.AppendMessage(dlqMsg)
+		q.DeadLetterQueue.UnlockMu()
+		q.RemoveIndex(i)
+		return msgUuid, true
+	}
+	return msgUuid, false
+}
+
 // InFlightIndexes — снимок индексов in-flight сообщений (для visibility-тика).
 // Возвращает срез индексов в Messages. Вызывать под write-блокировкой.
+//
+// ВАЖНО: индексы — снимок на момент вызова. Некоторые могут стать неактуальными
+// (handle переехал/сообщение удалено), поэтому потребитель ОБЯЗАН перепроверять
+// каждое сообщение по индексу (живость: в границах среза, не tombstone, handle
+// не пуст) — как это делает processQueueTick.
 func (q *Queue) InFlightIndexes() []int {
 	idx := make([]int, 0, len(q.receiptIdx))
 	for _, i := range q.receiptIdx {