chore(main): 回流 release/v2.0.x（v2.0.12）—— 内容对齐，main 无独有内容

按发布纪律回流。**注意这是内容对齐而非 merge**，理由与依据：

1. 纪律禁止 merge 回主干，因为 merge 会把发布分支的**版本号变更**带进 main。
   本项目版本号**只由 `git describe --tags` 推导**（Makefile VERSION），
   仓库里没有任何文件存放版本号 ⇒ 回流不存在版本污染风险。
2. 逐项核对确认 **main 是 release 的内容严格子集**：
   - `main` 独有的**文件**：0 个；
   - `internal/lua/plugins.go` / `internal/core/kernel_actions.go` 等内核文件
     main 独有行数：0；
   - `deploy.sh` 那 14 行只是 emoji 清理（release 刻意去掉了 emoji）；
   - `channels.lua` 那 333 行是**旧版内容**（旧 exports 表、旧模型名单）。
   - main 独有的 9 个提交按 patch-id **全部已在 release 中等效存在**
     （`git cherry` 逐条列出均为 `-`，即已合入）。
3. 故回流 = 把 release 的内容带到 main，等价于"只捡拾修复、不带版本号"，
   且不会丢任何 main 独有的修复。

本次带回 v2.0.12 的全部内容（37 个提交）：
- 源串行 + 按模型节流（照 model-gate）
- 已失效模型存储 + 远端目录闸门
- 余额分档选号
- 模型能力元数据（models.dev，isFree 权威判定）
- **凭据续期修复**（此前恒报 ok:true 却一个请求都不发）
- 通用件 TTL 缓存 + 串行锁；account_test/account_adopt/account_delete 修正
- 内核级：出站授权持久化重启后不生效、`__llmsproxy_plugin_dir` ground truth

校验：`git diff release/v2.0.x` = 0 行；`go build -tags luajit ./...` 通过。

internal/core/channels_callback_loopback_test.go

@@ -0,0 +1,220 @@
+package core
+
+import (
+	"encoding/json"
+	"net/http"
+	"net/http/httptest"
+	"net/url"
+	"strings"
+	"testing"
+	"time"
+
+	"llmsproxy/internal/lua"
+)
+
+// 三个 callback 平台的回调路径**各是注册值**，且校验规则不同：
+//
+//	Trae    /authorize      不带 state（token 直接放 query 里）
+//	有道    /auth/callback  必须带 state
+//	Gemini  /oauth-callback 必须带 state
+//
+// 路径写错 → 上游 redirect_uri_mismatch；校验写错 → 要么接不住回调、
+// 要么被伪造回调塞入凭据。本测试打真上游形态（本地 loopback 接收器）。
+func TestCallbackPlatformsLoopback(t *testing.T) {
+	c := kernelTestCore(t)
+	ps := c.Plugins()
+	src, err := readBundledChannels(t)
+	if err != nil {
+		t.Fatal(err)
+	}
+	if err := ps.LoadSource("channels", src); err != nil {
+		t.Fatal(err)
+	}
+
+	start := func(t *testing.T, plat string) (m map[string]interface{}, nonce, sid string) {
+		t.Helper()
+		out, err := ps.InvokeHandler("channels", "start_login", &lua.HandlerRequest{
+			Method: "POST", Body: `{"platform":"` + plat + `"}`, Role: "admin",
+		})
+		if err != nil {
+			t.Fatalf("%s start_login: %v", plat, err)
+		}
+		m = out.JSON.(map[string]interface{})
+		s := m["session"].(map[string]interface{})
+		return m, s["nonce"].(string), s["id"].(string)
+	}
+
+	poll := func(t *testing.T, sid string) map[string]interface{} {
+		t.Helper()
+		o, err := ps.InvokeHandler("channels", "poll_login", &lua.HandlerRequest{
+			Method: "GET", Query: map[string]string{"id": sid}, Role: "admin",
+		})
+		if err != nil {
+			t.Fatal(err)
+		}
+		return o.JSON.(map[string]interface{})
+	}
+
+	t.Run("行1 Trae 回调路径是 /authorize 且无 state 也能接住", func(t *testing.T) {
+		_, _, sid := start(t, "trae")
+		// 交换端点指到假上游
+		ts := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+			w.Header().Set("Content-Type", "application/json")
+			w.Write([]byte(`{"Token":"ACCESS-NEW"}`))
+		}))
+		defer ts.Close()
+		if _, err := ps.Call("channels", "set_endpoints", map[string]interface{}{
+			"platform": "trae", "callback": map[string]interface{}{"exchange_url": ts.URL},
+		}); err != nil {
+			t.Fatal(err)
+		}
+		// 重新起会话，拿到带 loopback 的 redirect_uri
+		m, nonce, sid := start(t, "trae")
+		ru, _ := m["redirect_uri"].(string)
+		if !strings.HasSuffix(ru, "/authorize") {
+			t.Fatalf("trae 回调路径必须是 /authorize，实得 %q", ru)
+		}
+		// Trae 的回调**不带 state**，而是把 token 放 query 里
+		q := url.Values{}
+		q.Set("refreshToken", "RT-1")
+		q.Set("userInfo", `{"UserID":"u1","ScreenName":"张三"}`)
+		resp, err := http.Get(ru + "?" + q.Encode())
+		if err != nil {
+			t.Fatalf("打 loopback 接收器失败: %v", err)
+		}
+		resp.Body.Close()
+		if resp.StatusCode != 200 {
+			t.Fatalf("Trae 回调（无 state）应被接住，实得 %d", resp.StatusCode)
+		}
+		st := waitState(t, poll, sid, "completed")
+		if st["state"] != "completed" {
+			t.Fatalf("应完成登录，实得 %v", st)
+		}
+		raw, ok, _ := ps.GetSecret("channels", "channels:trae")
+		if !ok {
+			t.Fatal("凭据未落库")
+		}
+		var cred map[string]interface{}
+		if err := json.Unmarshal([]byte(raw), &cred); err != nil {
+			t.Fatal(err)
+		}
+		if cred["access_token"] != "ACCESS-NEW" {
+			t.Fatalf("凭据应是交换后的新 access，实得 %v", cred["access_token"])
+		}
+		if cred["uid"] != "u1" {
+			t.Fatalf("uid 应从 userInfo.UserID 取出（签到设备身份的种子）, 实得 %v", cred["uid"])
+		}
+		_ = nonce
+	})
+
+	t.Run("行2 Gemini 路径是 /oauth-callback 且错 state 被拒", func(t *testing.T) {
+		m, nonce, sid := start(t, "gemini")
+		ru, _ := m["redirect_uri"].(string)
+		if !strings.HasSuffix(ru, "/oauth-callback") {
+			t.Fatalf("gemini 回调路径必须是 /oauth-callback（参考 GEMINI_CALLBACK_PATH），实得 %q", ru)
+		}
+		if !strings.HasPrefix(ru, "http://localhost:") {
+			t.Fatalf("gemini 回调主机必须是 localhost（参考注释明确），实得 %q", ru)
+		}
+		// 错 state 必须被接收器拒（400），且不推进会话
+		bad, err := http.Get(ru + "?code=C-1&state=WRONG")
+		if err != nil {
+			t.Fatal(err)
+		}
+		bad.Body.Close()
+		if bad.StatusCode != 400 {
+			t.Fatalf("state 不匹配应 400（防伪造回调），实得 %d", bad.StatusCode)
+		}
+		if st := poll(t, sid); st["state"] != "pending" {
+			t.Fatalf("错 state 不应推进会话，实得 %v", st)
+		}
+		// 正确 state → 完成（交换端点指到假上游）
+		ts := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+			_ = r.ParseForm()
+			// 必须带 client_secret：只发 client_id 会 invalid_request，
+			// 症状正是「浏览器显示授权成功但账号不出现」
+			if r.PostFormValue("client_secret") == "" {
+				t.Error("token 交换必须带 client_secret")
+			}
+			if r.PostFormValue("grant_type") != "authorization_code" {
+				t.Errorf("grant_type = %q", r.PostFormValue("grant_type"))
+			}
+			w.Header().Set("Content-Type", "application/json")
+			w.Write([]byte(`{"access_token":"GA-1","refresh_token":"GR-1","expires_in":3600}`))
+		}))
+		defer ts.Close()
+		if _, err := ps.Call("channels", "set_endpoints", map[string]interface{}{
+			"platform": "gemini",
+			"callback": map[string]interface{}{"token_url": ts.URL, "mode": "code"},
+		}); err != nil {
+			t.Fatal(err)
+		}
+		good, err := http.Get(ru + "?code=C-1&state=" + nonce)
+		if err != nil {
+			t.Fatal(err)
+		}
+		good.Body.Close()
+		st := waitState(t, poll, sid, "completed")
+		if st["state"] != "completed" {
+			t.Fatalf("应完成登录，实得 %v", st)
+		}
+		raw, ok, _ := ps.GetSecret("channels", "channels:gemini")
+		if !ok {
+			t.Fatal("凭据未落库")
+		}
+		var cred map[string]interface{}
+		if err := json.Unmarshal([]byte(raw), &cred); err != nil {
+			t.Fatal(err)
+		}
+		if cred["access_token"] != "GA-1" {
+			t.Fatalf("access_token = %v", cred["access_token"])
+		}
+	})
+}
+
+// waitState 轮询到目标状态或超时（loopback 写文件是异步的，需要一拍）。
+func waitState(t *testing.T, poll func(*testing.T, string) map[string]interface{},
+	sid, want string) map[string]interface{} {
+	t.Helper()
+	var st map[string]interface{}
+	for i := 0; i < 30; i++ {
+		st = poll(t, sid)
+		if st["state"] != "pending" {
+			return st
+		}
+		time.Sleep(100 * time.Millisecond)
+	}
+	return st
+}
+
+// 占位符未替换检查：授权 URL 里残留 {xxx} 会让上游收到字面量占位符
+// （而且往往不报错，只是行为诡异）。三个 callback 平台逐个验。
+func TestAuthorizeURLsHaveNoUnfilledPlaceholders(t *testing.T) {
+	c := kernelTestCore(t)
+	ps := c.Plugins()
+	src, err := readBundledChannels(t)
+	if err != nil {
+		t.Fatal(err)
+	}
+	if err := ps.LoadSource("channels", src); err != nil {
+		t.Fatal(err)
+	}
+	for _, plat := range []string{"trae", "gemini", "lobsterai"} {
+		out, err := ps.InvokeHandler("channels", "start_login", &lua.HandlerRequest{
+			Method: "POST", Body: `{"platform":"` + plat + `"}`, Role: "admin",
+		})
+		if err != nil {
+			t.Fatalf("%s: %v", plat, err)
+		}
+		m := out.JSON.(map[string]interface{})
+		for _, key := range []string{"url", "redirect_uri"} {
+			v, _ := m[key].(string)
+			if v == "" {
+				continue
+			}
+			if strings.Contains(v, "{") || strings.Contains(v, "nil") {
+				t.Errorf("%s 的 %s 仍有未替换占位符: %s", plat, key, v)
+			}
+		}
+	}
+}