CORE-06 Edge 准入、用量与结算协作

把 new-api 的进程内身份/额度访问改为受控服务协议，Core 仍持有全部权威事实

把 new-api 的进程内身份/额度访问改为受控服务协议，Core 仍持有全部权威事实。先完成一条文本链需要的接口。

数据与代码边界

拟在 Core 增加 internal 路由、服务身份中间件、operation/attempt/usage 持久模型与领域适配层；复用 CORE-04/05 服务，避免 HTTP 与 Worker 写两套账。

INT-01–06/10。方案存在具体缺口：admit 响应丢失时调用方尚无 operation_id，必须支持按请求身份重取结果；不能只提供按 operation_id 查询。路径与 Schema 需在实现前补齐提案。

下列路径中“拟新增”是建议落点，实际命名随代码评审确定；不表示文件、表或接口已经存在。每项交付同时包含对应 Schema、请求/响应及错误样例。

前置：CORE-01.03、CORE-02.01。

实施范围：为 Edge/产品/Worker 确定服务凭据校验与权限范围、轮换和日志脱敏；凭据引用独立于客户模型 Key/浏览器 JWT。

交付物：内部鉴权协议、中间件、允许调用方与操作作用域；网络边界说明。

验收场景：客户令牌不能调用内部接口；错服务/用途/已撤销服务凭据拒绝；不以客户端 account_id 作为权威身份。

前置：CORE-06.01、CORE-04.05、CORE-05.02。

实施范围：实现 INT-01：核验客户 Key/账户模型/IP 限制，绑定请求摘要和幂等作用域，operation 与预留同事务提交。由可信入口提供客户端地址证据，不能信任任意转发 Header。

交付物：admit 精确 Schema、执行许可/限制和冲突返回；新增 operation 迁移。

验收场景：并发同请求得到同一操作；内容冲突拒绝；账户/Key 无权或预算不足时无供应执行许可；半事务失败全回滚。

前置：CORE-06.02。

实施范围：完善 INT-02，并选择按幂等键查询或安全重放 admit 返回原结果的协议；定义操作归属、保留期和执行许可过期后的处理。INT-10 仅在缓存确有需要时启用。

交付物：受理响应丢失恢复契约、操作查询、幂等冲突与权限样例。

验收场景：客户端无 operation_id 仍能找回原受理结果；重放受理不重做供应执行；错服务/错账户不能枚举操作。

前置：CORE-06.02/03。

实施范围：实现 INT-06 与 INT-03：尝试、网关 ID、用量事件、final 版本与证据摘要；校验非负和单位、去重及乱序，不让服务随意提交扣费金额。

交付物：attempt/usage 迁移和接收接口，事件冲突/缺失/final 状态约定。

验收场景：重复 event_id 同内容幂等、异内容冲突；中间量不能冒充最终；未知供应结果禁止无依据新增付费尝试。

前置：CORE-06.04、CORE-05.03、Edge/网关可调用。

实施范围：INT-04/05 调用统一领域服务，返回可重查结果；串起 Edge→Core→网关→用量→账务。

交付物：Contracts 精确切片、Core/Edge 联调样例与故障核对报告。

验收场景：正常/流式、断流、预留/结算响应丢失、重复回报、Core 重启均不重复扣费；两类客户同模型价格正确。

完成文本计费联合验收，包括无 operation_id 的丢失响应路径。新增内部提案在实现和联调通过前保持草案状态。

具体步骤的运行状态查Core 开工基线和本机工作台；完成一个步骤不自动完成整个阶段。