M4 收口：神识用户面与计量闭环——BYOK/配额三段式/usage 落库/Anthropic+Gemini 适配器/神识阁

- 神识 Go：store 双实现（PG 自动建表+60s 就绪重试 / 内存回退）承载 usage_logs·byok_keys·quota_balances；BYOK 密钥库（AES-GCM 加密、API 脱敏、撤回即失效、主密钥未配置 fail-closed）；配额三段式（预扣 max_tokens 钳位 1M→结算实际 token→全败幂等退款，HJ-2004）；计量归属（IR user_id→usage_logs，/me/usage 用户维度聚合+配额总览，/admin/usage/sample 对账抽样）；Anthropic/Gemini 出站适配器（SSE 解析、system 提升、用量映射）；stub 端点补名修复计量空 endpoint
- IR 契约：user_id/byok_key_id 双端同步（Go types.go + Py types.py）
- 灵台：runs.owner_id（迁移 005，server_default 兼容存量）经 kernel 全链透传为 IR user_id；shenshi_client 扩展用户面方法（X-Hunjing-User-Id 代理，Echo 桩带内存实现）；/me/byok-keys 登记·列表·撤回与 /me/usage 端点（4 用例）
- 前端神识阁（/models 重建）：偏好（生成参数表单）/自带密钥（登记加密保存、脱敏列表、撤回二次确认）/用量（聚合表+配额进度条）三区；me API 库+mock+5 用例；侧栏恢复入口
- 配置与部署：.env.example 增 SHENSHI_DATABASE_URL/SHENSHI_BYOK_MASTER_KEY/SHENSHI_USER_BUDGET_TOKENS；compose 神识容器接自有库（init-shenshi.sql 预建 hunjing_shenshi，与灵台不共库共表）
- 证据：Go 34 用例（BYOK 独占/配额拒绝/结算退款/归属聚合）、后端 532、前端 210、BFF 4 全绿；跨进程 E2E 四场景（灵台 HttpShenshiClient→真 Go 神识：登记脱敏/BYOK 独占不可达整体失败/用量归属聚合/撤回即失效）通过；rewrite-plan M4 标记完成、能力矩阵神识行升已验证

shenshi/internal/quota/quota_test.go

@@ -0,0 +1,65 @@
+package quota
+
+import (
+	"errors"
+	"testing"
+
+	"hunjing/shenshi/internal/store"
+)
+
+func TestReserveRejectsWhenBudgetExhausted(t *testing.T) {
+	st := store.NewMem()
+	l := New(st, 1000)
+	if _, err := l.Reserve("u1", 600); err != nil {
+		t.Fatal(err)
+	}
+	if _, err := l.Reserve("u1", 600); err == nil {
+		t.Fatal("累计超预算应拒绝（HJ-2004）")
+	} else if !errors.Is(err, ErrInsufficient) {
+		t.Fatalf("错误类型错误: %v", err)
+	}
+}
+
+func TestSettleReleasesAndAllowsReuse(t *testing.T) {
+	st := store.NewMem()
+	l := New(st, 1000)
+	r, _ := l.Reserve("u1", 600)
+	if err := l.Settle("u1", r, 100); err != nil {
+		t.Fatal(err)
+	}
+	// 已用 100，剩 900 可用
+	if _, err := l.Reserve("u1", 900); err != nil {
+		t.Fatalf("结算释放差值后应可继续使用: %v", err)
+	}
+}
+
+func TestRefundIdempotent(t *testing.T) {
+	st := store.NewMem()
+	l := New(st, 1000)
+	r, _ := l.Reserve("u1", 500)
+	_ = l.Refund("u1", r)
+	_ = l.Refund("u1", r) // 幂等重放
+	budget, used, reserved, _ := l.Budget("u1")
+	if reserved != 0 || used != 0 || budget != 1000 {
+		t.Fatalf("重复退款后账目异常: budget=%d used=%d reserved=%d", budget, used, reserved)
+	}
+}
+
+func TestClampCeiling(t *testing.T) {
+	if got := clamp(1 << 30); got != 1<<20 {
+		t.Fatalf("超大预扣应钳位到 1M，实际 %d", got)
+	}
+	if got := clamp(-5); got != 0 {
+		t.Fatalf("负值应截断为 0，实际 %d", got)
+	}
+}
+
+func TestZeroBudgetMeansUnlimited(t *testing.T) {
+	st := store.NewMem()
+	l := New(st, 0)
+	for i := 0; i < 3; i++ {
+		if _, err := l.Reserve("u1", 1<<20); err != nil {
+			t.Fatalf("budget=0 不应裁决: %v", err)
+		}
+	}
+}