chore(main): 回流 release/v2.0.x（v2.0.12）—— 内容对齐，main 无独有内容

按发布纪律回流。**注意这是内容对齐而非 merge**，理由与依据：

1. 纪律禁止 merge 回主干，因为 merge 会把发布分支的**版本号变更**带进 main。
   本项目版本号**只由 `git describe --tags` 推导**（Makefile VERSION），
   仓库里没有任何文件存放版本号 ⇒ 回流不存在版本污染风险。
2. 逐项核对确认 **main 是 release 的内容严格子集**：
   - `main` 独有的**文件**：0 个；
   - `internal/lua/plugins.go` / `internal/core/kernel_actions.go` 等内核文件
     main 独有行数：0；
   - `deploy.sh` 那 14 行只是 emoji 清理（release 刻意去掉了 emoji）；
   - `channels.lua` 那 333 行是**旧版内容**（旧 exports 表、旧模型名单）。
   - main 独有的 9 个提交按 patch-id **全部已在 release 中等效存在**
     （`git cherry` 逐条列出均为 `-`，即已合入）。
3. 故回流 = 把 release 的内容带到 main，等价于"只捡拾修复、不带版本号"，
   且不会丢任何 main 独有的修复。

本次带回 v2.0.12 的全部内容（37 个提交）：
- 源串行 + 按模型节流（照 model-gate）
- 已失效模型存储 + 远端目录闸门
- 余额分档选号
- 模型能力元数据（models.dev，isFree 权威判定）
- **凭据续期修复**（此前恒报 ok:true 却一个请求都不发）
- 通用件 TTL 缓存 + 串行锁；account_test/account_adopt/account_delete 修正
- 内核级：出站授权持久化重启后不生效、`__llmsproxy_plugin_dir` ground truth

校验：`git diff release/v2.0.x` = 0 行；`go build -tags luajit ./...` 通过。

tools/codearts_sig_expected.mjs

@@ -0,0 +1,113 @@
+// 生成 CodeArts 华为云签名派生的差分期望值（供 internal/core/codearts_sign_test.go 比对）。
+//
+// 为什么需要：channels.lua 里的华为云 SDK-HMAC-SHA256 签名是**手工移植**
+// （Lua 没有 webcrypto）。签名错一处，服务端只回一句
+// `{"error_code":"APIG.0301","error_msg":"...verify ak sk signature fail"}`，
+// 看起来像"账号/权限问题"，极难定位。所以拿参考实现生成期望值做逐字节差分。
+//
+// 参考真值：vendor/channel-pack/src/sign.ts 的 signRequestHuawei。
+// 这里**逐行照抄**那个函数（而非 import）—— 它依赖参考仓库的构建链，
+// 抄这 40 行更能保证"同一算法"。
+//
+// 用法（改了参考或改了移植后都要重跑）：
+//   node tools/codearts_sig_expected.mjs > internal/core/codearts_sig_expected.json
+
+import { createHash, createHmac } from 'node:crypto'
+
+const sha256Hex = (d) => createHash('sha256').update(d).digest('hex')
+const hmacSha256Hex = (key, data) => createHmac('sha256', key).update(data).digest('hex')
+
+/** 照抄 sign.ts:signRequestHuawei（dateStamp 提为参数以便固定时间）。 */
+function signRequestHuawei(ak, sk, securityToken, method, urlStr, body, dateStamp) {
+  const url = new URL(urlStr)
+  let uri = url.pathname
+  if (!uri.endsWith('/')) uri += '/'
+  const query = url.search.slice(1)
+  const payloadHash = sha256Hex(body)
+
+  const headers = new Map()
+  headers.set('host', url.host)
+  headers.set('x-sdk-date', dateStamp)
+  headers.set('x-sdk-content-sha256', payloadHash)
+  headers.set('x-security-token', securityToken)
+  if (method.toUpperCase() !== 'GET') headers.set('content-type', 'application/json')
+
+  const signedHeaders = []
+  headers.forEach((_, k) => signedHeaders.push(k))
+  signedHeaders.sort()
+  const headerLines = signedHeaders.map((k) => `${k}:${headers.get(k) ?? ''}`)
+  const canonical = [
+    method,
+    uri,
+    query,
+    headerLines.join('\n'),
+    '',
+    signedHeaders.join(';'),
+    payloadHash,
+  ].join('\n')
+  const stringToSign = `SDK-HMAC-SHA256\n${dateStamp}\n${sha256Hex(new TextEncoder().encode(canonical))}`
+  const signature = hmacSha256Hex(
+    new TextEncoder().encode(sk),
+    new TextEncoder().encode(stringToSign),
+  )
+  return {
+    canonical,
+    stringToSign,
+    signature,
+    signedHeaders: signedHeaders.join(';'),
+  }
+}
+
+// 覆盖三条真实路径（账户查询 / 活动列表带 query / 领取带 body），
+// 以及有/无 security_token 两种形态。
+const cases = [
+  {
+    m: 'GET',
+    u: 'https://snap-access.cn-north-4.myhuaweicloud.com/snap-manager/v1/statistics/plugin',
+    b: '',
+    ak: 'AK1',
+    sk: 'SK1',
+    st: 'TOK1',
+  },
+  {
+    m: 'GET',
+    u: 'https://snap-access.cn-north-4.myhuaweicloud.com/v1/ops/delivery?channel=IDE',
+    b: '',
+    ak: 'AK2',
+    sk: 'SK2',
+    st: '',
+  },
+  {
+    m: 'POST',
+    u: 'https://snap-access.cn-north-4.myhuaweicloud.com/v1/ops/claim',
+    b: '{"campaignId":"C1","channel":"IDE"}',
+    ak: 'AK3',
+    sk: 'SK3',
+    st: 'T3',
+  },
+]
+
+const out = cases.map((c) => {
+  const r = signRequestHuawei(
+    c.ak,
+    c.sk,
+    c.st,
+    c.m,
+    c.u,
+    Buffer.from(c.b, 'utf8'),
+    '20261013T150405Z',
+  )
+  return {
+    method: c.m,
+    url: c.u,
+    body: c.b,
+    ak: c.ak,
+    sk: c.sk,
+    st: c.st,
+    canonical: r.canonical,
+    string_to_sign: r.stringToSign,
+    signature: r.signature,
+    signed_headers: r.signedHeaders,
+  }
+})
+process.stdout.write(`${JSON.stringify(out, null, 1)}\n`)