fix(quota): 未就绪适配器污染负 memo；被拒凭据被后续 404 掩盖

端到端验证时撞出两个真缺陷，都是单元测试全绿、隔离实例打真上游才暴露。

一、负 memo 语义混用

负 memo 说的是「这台 HOST 没有余额端点」，且无条件在每次探测前生效。
openDesign 缺 control_key 说的是「这台部署还没配」—— 两件事共用一个条目：

  1. 未配 control_key → 探测 → 负 memo
  2. 操作员写入 key   → 探测被退避拦下，adapter 根本没跑
  3. 结果：修复看起来无效，源持续沉默（退避窗口可达数小时）

不能靠「skip 就不记 memo」解决：真实 vela 主机上另外三个 adapter 都返回
404（关于主机的持久结论，正是 memo 存在的理由），verdict 一定是普通 skip。
做法是 memo 条目带上「哪些 vendor 因自身未配置而无法判断」：
  - 未就绪的 adapter 直接不跑（跑了只能得到 401 或伪造的 skip）
  - 条目带 unready 集合；该 vendor 配置好后条目作废重算
  - 仍缺配置时条目依然写入（否则无看板的主机回到每次开页 60 秒超时），
    但不退避 —— 退避会拒绝那个本来能成功的探测

二、401 被下一个 adapter 的 404 掩盖

adapter 循环不停在 error，而「最后一个胜」不精确：openDesign 走厂商的整份
主机列表，是最可能看到「key rejected」的那个，但它也可能排在最前（memo 记
得它应答过，下次就优先它）—— 于是它的 401 被下一个 adapter 的
404「no dashboard here」分类成「这台主机没有余额端点」。两种情况的修复动作
完全相反，输出却一样。规则改为：被拒凭据优先，且不被覆盖。

判据：12/12 变异全杀。三条曾经存活或误杀，逐条查清：
  - rejected-as-skip 存活是因为测试没有复现生产调用顺序（memo 空 → openDesign
    排最后 → 旧规则也能过），测试已改为预置 memo 并让另三个 adapter 走同一个
    stub（它们读 base 而非 api_base，否则会全部传输失败）
  - no-cred-guard 并非存活，只是杀它的不是我以为的那个测试（门禁后面还有
    一道检查），预期已改正
  - unready-memo-not-dropped 是真等价变异（known=false 与 nil 只差一次廉价
    探活），已从清单移除

internal/lua/quota_backoff_test.go

@@ -177,6 +177,18 @@ func TestQuotaBackoffRecordsConsecutiveFailures(t *testing.T) {
 	srv := newCountingServer(t)
 	ps := newQuotaPlugins(t, srv.URL)
 
+	// Configure every vendor that needs its own credentials, so no adapter is
+	// UNABLE to judge the host. That is a precondition, not decoration: a host
+	// judged while an adapter is unconfigured gets a PROVISIONAL memo, and a
+	// provisional memo deliberately never backs off (it would refuse the very
+	// probe that succeeds once the credential arrives). Without this the test
+	// would be measuring that rule instead of the ordinary backoff.
+	if err := ps.SetState("quota", map[string]interface{}{
+		"prices": map[string]interface{}{"control_key": "ctrl"},
+	}); err != nil {
+		t.Fatal(err)
+	}
+
 	args := map[string]interface{}{
 		"sources": []interface{}{map[string]interface{}{
 			"name": "dead", "base_url": srv.URL + "/v1", "api_key": "k",