M4 收口：神识用户面与计量闭环——BYOK/配额三段式/usage 落库/Anthropic+Gemini 适配器/神识阁

- 神识 Go：store 双实现（PG 自动建表+60s 就绪重试 / 内存回退）承载 usage_logs·byok_keys·quota_balances；BYOK 密钥库（AES-GCM 加密、API 脱敏、撤回即失效、主密钥未配置 fail-closed）；配额三段式（预扣 max_tokens 钳位 1M→结算实际 token→全败幂等退款，HJ-2004）；计量归属（IR user_id→usage_logs，/me/usage 用户维度聚合+配额总览，/admin/usage/sample 对账抽样）；Anthropic/Gemini 出站适配器（SSE 解析、system 提升、用量映射）；stub 端点补名修复计量空 endpoint
- IR 契约：user_id/byok_key_id 双端同步（Go types.go + Py types.py）
- 灵台：runs.owner_id（迁移 005，server_default 兼容存量）经 kernel 全链透传为 IR user_id；shenshi_client 扩展用户面方法（X-Hunjing-User-Id 代理，Echo 桩带内存实现）；/me/byok-keys 登记·列表·撤回与 /me/usage 端点（4 用例）
- 前端神识阁（/models 重建）：偏好（生成参数表单）/自带密钥（登记加密保存、脱敏列表、撤回二次确认）/用量（聚合表+配额进度条）三区；me API 库+mock+5 用例；侧栏恢复入口
- 配置与部署：.env.example 增 SHENSHI_DATABASE_URL/SHENSHI_BYOK_MASTER_KEY/SHENSHI_USER_BUDGET_TOKENS；compose 神识容器接自有库（init-shenshi.sql 预建 hunjing_shenshi，与灵台不共库共表）
- 证据：Go 34 用例（BYOK 独占/配额拒绝/结算退款/归属聚合）、后端 532、前端 210、BFF 4 全绿；跨进程 E2E 四场景（灵台 HttpShenshiClient→真 Go 神识：登记脱敏/BYOK 独占不可达整体失败/用量归属聚合/撤回即失效）通过；rewrite-plan M4 标记完成、能力矩阵神识行升已验证

shenshi/internal/byok/byok_test.go

@@ -0,0 +1,77 @@
+package byok
+
+import (
+	"encoding/hex"
+	"strings"
+	"testing"
+
+	"hunjing/shenshi/internal/store"
+)
+
+func testMaster() string {
+	b := make([]byte, 32)
+	for i := range b {
+		b[i] = byte(i)
+	}
+	return hex.EncodeToString(b)
+}
+
+func TestVaultRoundTripAndMask(t *testing.T) {
+	v, err := NewVault(testMaster(), store.NewMem())
+	if err != nil {
+		t.Fatal(err)
+	}
+	m, err := v.Register("u1", "主力", "anthropic", "https://api.anthropic.com", "sk-ant--secret123", "claude-x")
+	if err != nil {
+		t.Fatal(err)
+	}
+	if !strings.Contains(m.APIKeyMask, "****") || strings.Contains(m.APIKeyMask, "secret") {
+		t.Fatalf("掩码泄露明文: %s", m.APIKeyMask)
+	}
+
+	// 解密往返
+	k, plain, err := v.Resolve("u1", m.ID)
+	if err != nil {
+		t.Fatal(err)
+	}
+	if plain != "sk-ant--secret123" || k.Model != "claude-x" {
+		t.Fatalf("往返失真: %s %s", plain, k.Model)
+	}
+	if k.LastUsed == nil {
+		t.Fatal("使用时间应被记录")
+	}
+
+	// 列表脱敏
+	keys, _ := v.List("u1")
+	if len(keys) != 1 || strings.Contains(keys[0].APIKeyMask, "secret") {
+		t.Fatalf("列表脱敏失败: %+v", keys)
+	}
+
+	// 撤回后失效
+	if err := v.Revoke("u1", m.ID); err != nil {
+		t.Fatal(err)
+	}
+	if _, _, err := v.Resolve("u1", m.ID); err == nil {
+		t.Fatal("撤回后仍可解析")
+	}
+}
+
+func TestVaultFailClosedWithoutMasterKey(t *testing.T) {
+	if _, err := NewVault("", store.NewMem()); err == nil {
+		t.Fatal("未配置主密钥应拒绝启用（fail-closed）")
+	}
+}
+
+func TestVaultRejectsBadMasterKey(t *testing.T) {
+	if _, err := NewVault("too-short", store.NewMem()); err == nil {
+		t.Fatal("非 32 字节主密钥应被拒绝")
+	}
+}
+
+func TestVaultCrossUserIsolation(t *testing.T) {
+	v, _ := NewVault(testMaster(), store.NewMem())
+	m, _ := v.Register("u1", "k", "gemini", "https://gen.example.com", "AIza-key", "gemini-x")
+	if _, _, err := v.Resolve("u2", m.ID); err == nil {
+		t.Fatal("u2 不应解析 u1 的密钥")
+	}
+}