chore(main): 回流 release/v2.0.x（v2.0.12）—— 内容对齐，main 无独有内容

按发布纪律回流。**注意这是内容对齐而非 merge**，理由与依据：

1. 纪律禁止 merge 回主干，因为 merge 会把发布分支的**版本号变更**带进 main。
   本项目版本号**只由 `git describe --tags` 推导**（Makefile VERSION），
   仓库里没有任何文件存放版本号 ⇒ 回流不存在版本污染风险。
2. 逐项核对确认 **main 是 release 的内容严格子集**：
   - `main` 独有的**文件**：0 个；
   - `internal/lua/plugins.go` / `internal/core/kernel_actions.go` 等内核文件
     main 独有行数：0；
   - `deploy.sh` 那 14 行只是 emoji 清理（release 刻意去掉了 emoji）；
   - `channels.lua` 那 333 行是**旧版内容**（旧 exports 表、旧模型名单）。
   - main 独有的 9 个提交按 patch-id **全部已在 release 中等效存在**
     （`git cherry` 逐条列出均为 `-`，即已合入）。
3. 故回流 = 把 release 的内容带到 main，等价于"只捡拾修复、不带版本号"，
   且不会丢任何 main 独有的修复。

本次带回 v2.0.12 的全部内容（37 个提交）：
- 源串行 + 按模型节流（照 model-gate）
- 已失效模型存储 + 远端目录闸门
- 余额分档选号
- 模型能力元数据（models.dev，isFree 权威判定）
- **凭据续期修复**（此前恒报 ok:true 却一个请求都不发）
- 通用件 TTL 缓存 + 串行锁；account_test/account_adopt/account_delete 修正
- 内核级：出站授权持久化重启后不生效、`__llmsproxy_plugin_dir` ground truth

校验：`git diff release/v2.0.x` = 0 行；`go build -tags luajit ./...` 通过。

internal/core/channels_capability_test.go

@@ -0,0 +1,86 @@
+package core
+
+import (
+	"testing"
+)
+
+// 模型能力元数据（照参考 opencode-capability）。
+//
+// 关键纪律：`/zen/v1/models` 只返回 4 个字段、**不含能力信息**；能力在 models.dev
+// （实测 5.05 MB / 下载 1.4s）。参考的真机事故：最初在模型列表渲染路径上直接
+// 等这个下载，模型选择器要等 1.4s+ 才出列表 —— 用户报障「点开是一片空白」。
+//
+// ⇒ 三条硬约定：渲染路径只读同步缓存；磁盘缓存冷启动命中；拉取在后台。
+// 我们额外：本插件是服务端进程，但 5MB 仍不能放请求路径上 ⇒ 挂定时任务。
+//
+// 本判据钉住"非阻塞"这一条：**缓存未就绪时 model_list 必须立刻返回**，
+// 而不是去等网络。
+func TestCapabilityReadNeverBlocks(t *testing.T) {
+	_, ps := poolCore(t)
+	// 清掉能力缓存（模拟冷启动）
+	if _, err := ps.Call("channels", "__clear_capabilities_probe", nil); err != nil {
+		t.Fatalf("清缓存: %v", err)
+	}
+	// 冷启动下取模型列表：必须成功返回（退回兜底 isFree），且不得等待网络。
+	// 判据：能返回就说明没阻塞（真去下 5MB 会超时/极慢）。
+	m, err := ps.Call("channels", "model_list", map[string]interface{}{"platform": "opencode"})
+	if err != nil {
+		t.Fatalf("model_list: %v", err)
+	}
+	j, _ := m.(map[string]interface{})["json"].(map[string]interface{})
+	if j == nil || j["ok"] != true {
+		t.Fatalf("冷启动下 model_list 必须成功（退回兜底），实得 %#v", m)
+	}
+	models := asArrInterface(j["models"])
+	if len(models) == 0 {
+		t.Fatal("冷启动下仍应列出兜底模型")
+	}
+	// 冷启动时 isFree 应退回声明的 models_free（不能凭空说全部免费）
+	sawFree := false
+	for _, it := range models {
+		if mm, ok := it.(map[string]interface{}); ok && mm["isFree"] == true {
+			sawFree = true
+		}
+	}
+	if !sawFree {
+		t.Error("冷启动时 opencode 应有 free 模型（退回声明的 models_free）")
+	}
+}
+
+// 能力元数据一旦就绪，isFree 必须改由它决定（cost 权威，而非快照）。
+func TestCapabilityOverridesFreeFlag(t *testing.T) {
+	_, ps := poolCore(t)
+	// 注入一份假能力：把某个原本标 free 的模型改成收费、把非 free 的改成免费
+	if _, err := ps.Call("channels", "__inject_capability_probe", map[string]interface{}{
+		"platform": "opencode",
+		"model_id": "big-pickle",
+		"is_free":  false, // 原本声明 free，能力表说收费 ⇒ 必须以能力表为准
+	}); err != nil {
+		t.Fatalf("注入: %v", err)
+	}
+	if _, err := ps.Call("channels", "__inject_capability_probe", map[string]interface{}{
+		"platform": "opencode",
+		"model_id": "glm-5.2",
+		"is_free":  true, // 原本不在 free 列表，能力表说免费
+	}); err != nil {
+		t.Fatalf("注入: %v", err)
+	}
+	m, _ := ps.Call("channels", "model_list", map[string]interface{}{"platform": "opencode"})
+	j, _ := m.(map[string]interface{})["json"].(map[string]interface{})
+	got := map[string]bool{}
+	for _, it := range asArrInterface(j["models"]) {
+		if mm, ok := it.(map[string]interface{}); ok {
+			if id, ok := mm["id"].(string); ok {
+				if f, ok := mm["isFree"].(bool); ok {
+					got[id] = f
+				}
+			}
+		}
+	}
+	if got["big-pickle"] {
+		t.Error("能力表说收费时 isFree 必须为 false（权威来源是 cost，不是快照）")
+	}
+	if !got["glm-5.2"] {
+		t.Error("能力表说免费时 isFree 必须为 true")
+	}
+}