feat(plugins): 可见性、state 分区、注册式 HTTP 端点 + 按密钥授权

插件页面不是自动公开的数据。billing 显示跨全部源的成本，quota 显示上游余额，
而这两者都不属于持有 user 密钥的人 —— 但 /api/ui-inject 不做任何角色过滤，
所以两者都发给了任何已认证的密钥。实测（不是推断）：club 这把 user 密钥拉到了
18672 字节的 billing state，里面是 16871 次请求 / $8.8616 / 21 个源名与各自
成本。

UIPage/UIElement 加 Audience，UIExtension 加 Visibility。语法刻意很小——"" 或
"all" 放行，"admin" 只给 admin，"admin,user" 列角色。**"*" 不是 all 的同义词**：
一个在配置文件里看起来受限、实际放行一切的东西，正是会静默失效的那种设置。

覆盖走 config.yaml 的 plugin_visibility，因为插件作者不知道本部署的策略，而运维
也不该为了改一行去编辑内置 .lua（下次升级就没了）。

过滤发生在 UIForRole 而非 HTTP 层：WebUI 启动载荷、Electron 外壳、测试都读同一
处，只在 HTTP 层过滤意味着其它消费者照旧全量泄漏。

角色可见性回答不了"哪一部分"。billing 里全局数字（total、by_source、by_model、
未定价告警）是部署数据，by_key / by_day_key 描述的是**一个**调用方。于是插件用
state_scope 声明哪些桶是全局的、哪些按调用方过滤，深度由插件给出（1 = {maskedKey:
桶}，2 = {day: {maskedKey: 桶}}）——两种形状都是 map，靠嗅探分不清"空桶"和"嵌套桶"。

不匹配的行**删除而不是置零**：置零会渲染成"你没花钱"，还会泄露"别人有这一行"。
billing 因此改为 visibility="all" + state_scope，而不是 admin-only —— 后者会让
split 失去意义，而前者不加 split 正是这次要堵的泄露。

有些东西值得从浏览器**外面**查（CI 判断上游余额是否为零、监控探针、盒子上的
另一个工具）。billing 从不需要（它只收 hook），quota 需要。为每个插件硬编码一条
路由意味着每次都要改网关，而把任意插件代码塞进主 mux 也不是路由表该做的事。

插件在 plugin.http 里声明 path/method/roles/keys，挂在 /api/plugins/http/ 下。
请求与响应都是普通 table 穿过 Go/Lua 边界。两条由 Go 侧而非信任插件来保证的性质：
status 与 method 走白名单（否则插件能选一个 3xx + Location 把调用者弹到它指定的
URL），Content-Length 与逐跳头被丢弃（否则插件能让网关的响应分帧错位）。

roles 太粗：无法表达"给 homeagent 开放、其他人不开"。keys 按**密钥名**授权而非密钥
值——密钥值会被轮换，规则写死在上面会静默失配；把凭据散进插件文件也是问题；而且
运维读的是名字。

**keys 非空时它是全部规则**，不是与 roles 的并集。写成并集的话，运维写两条允许名单
就会顺带放行所有 user 密钥，正好与意图相反。admin 永远放行，否则名单里一个拼写
错误会让唯一能诊断它的人也进不去。

写入前校验密钥名真实存在：一份写着错别字名字的名单会被存下、保存、在 WebUI 里
显示为"已配置"，然后拒绝每一个调用者——失败看起来像端点坏了，而不是名字错了。

readPluginUI / readPluginExports / readPluginHTTP 都在插件**注册期间**调用
luaToJSON，而它依赖 setupGlobals 才安装的 json 全局，于是静默返回空值。三处表现各
不同（页面字段为空、exports 看不见、端点数为 0），同一个原因。现在统一走
luaTableToGoValue。

readPluginHTTP 还额外踩了 golua 的 GetField 不做字符串→数字转换，用索引循环取数组
永远拿到 nil。

去掉角色过滤 → 3 条判据红（含"a user key can see the admin-only page"）；
去掉 page 级 audience → 1 条红。routes 层断言徽标齐全、方法与 path 校验、栈帧
归属、admin 豁免、{status=204} 合法、空表报错。

生产验证：admin 看到 14 个字段 / by_key 5 行 / total $8.86；user 看到 0 行。

Co-Authored-By: ModelRouter <noreply@modelrouter.dev>
(cherry picked from commit a6c6e6e5c7)
(cherry picked from commit 5eef5ad635)

internal/lua/plugin_visibility.go

@@ -0,0 +1,81 @@
+package lua
+
+// Per-caller state scoping.
+//
+// Role visibility answers "may this role see the plugin at all". It does not
+// answer "which PART of its data", and for the billing plugin those are
+// different questions: the global figures (total spend, every source, every
+// model) are deployment data, while the per-key buckets describe one caller.
+//
+// So a plugin may declare a split, and the gateway then hands a non-admin
+// caller only the buckets that are theirs. The plugin declares it because only
+// the plugin author knows which of its buckets are global.
+
+import "strings"
+
+// StateScope is a plugin's declaration of which state buckets are global.
+type StateScope struct {
+	// Global names the buckets that describe the whole deployment. Anything not
+	// listed is treated as per-caller and filtered.
+	Global []string `json:"global,omitempty"`
+	// Depth gives the nesting level of each PER-CALLER bucket: 1 for
+	// {maskedKey: bucket}, 2 for {day: {maskedKey: bucket}}. It is declared
+	// because both shapes are maps and sniffing would confuse an empty bucket
+	// with a nested one.
+	Depth map[string]int `json:"depth,omitempty"`
+}
+
+// IsGlobal reports whether a top-level state key is deployment-wide.
+func (s *StateScope) IsGlobal(key string) bool {
+	if s == nil {
+		return true
+	}
+	for _, g := range s.Global {
+		if g == key {
+			return true
+		}
+	}
+	return false
+}
+
+// StateScopeFor returns a plugin's declared split, or nil when it declares none.
+func (ps *Plugins) StateScopeFor(name string) *StateScope {
+	ps.mu.RLock()
+	defer ps.mu.RUnlock()
+	for _, p := range ps.plugins {
+		if p.Info.Name != name || p.UI == nil {
+			continue
+		}
+		return p.UI.StateScope
+	}
+	return nil
+}
+
+// compileDepthMap normalizes the declared depth table, defaulting to 1 for a
+// per-caller bucket the author did not annotate.
+func compileDepthMap(in map[string]int) map[string]int {
+	if len(in) == 0 {
+		return nil
+	}
+	out := make(map[string]int, len(in))
+	for k, v := range in {
+		if v < 1 {
+			v = 1
+		}
+		out[strings.TrimSpace(k)] = v
+	}
+	return out
+}
+
+// DepthOf returns the declared nesting level for a per-caller bucket, 1 by
+// default. A bucket the author did not annotate is assumed flat, which is the
+// common shape ({maskedKey: row}).
+func (s *StateScope) DepthOf(key string) int {
+	if s == nil || s.Depth == nil {
+		return 1
+	}
+	if d, ok := s.Depth[key]; ok {
+		return d
+	}
+	return 1
+}