成本护栏不能只信上报的用量

 1  // server/tutor/service.mjs（收到结果时，节选）
 2  if (m.type === "result") {
 3    // 端点的 usage/cost 不可信，只作观测不作决策（架构 §8.2）
 4    yield { type: "done", usedToday: quota.usedToday, limit: quota.limit, durationMs: m.duration_ms ?? null, tools: … };
 5  
 6  // server/db.mjs（计数表与清理，节选）
 7  CREATE TABLE IF NOT EXISTS usage_log ( id BIGSERIAL PRIMARY KEY, user_id UUID NOT NULL REFERENCES users(id) ON DELETE CASCADE, at TIMESTAMPTZ NOT NULL DEFAULT now() );
 8  /** 定期清理，避免 usage_log 无限增长（只保留 7 天，够算日配额） */
 9  
10  // server/tutor/service.mjs（注释，节选）
11  /** 只声明真正会用到的内置工具。收窄 tools 是省 token 的关键（14 倍，架构 §8.1） */
12  
13  // server/config.mjs（护栏配置，节选）
14  budgetUsdFallback: 0.5,  // maxBudgetUsd：仅作异常兜底，非日常成本控制

• 第 3 行 · 中危 · 说是“只作观测”，其实什么也没记：注释说上报的用量"只作观测"，可下一行发出的"完成"事件里没有它，也没有写进任何地方。观测的数据，一条都没留下来。 该问的话：每次调用上报的 token 和费用，记在哪里了？
• 第 7 行 · 中危 · 计数表只记了“谁、什么时候”：表里只有用户和时间，没有 token、模型、费用，也没有这次调用是成功还是失败。拿它只能数次数，算不出钱。用户被删除时，他的用量记录还会一起被删掉。 该问的话：这张表能回答“这个月一共花了多少钱”吗？
• 第 8 行 · 低危 · 只留 7 天，对不了月账单：7 天够算每日上限，却不够和按月结算的账单核对：到月底想对账时，前三周的记录已经被清掉了。而且清理只在服务启动时跑一次，注释里的"定期"并不准确。 该问的话：想和上个月的账单对一对，自己手里还有上个月的记录吗？
• 第 11 行 · 低危 · “14 倍”用的是不可信的数字：这个 14 倍，来自那组前后差几十倍的上报数据，而且测量时的配置和线上也不一样。它可以当作方向，不能当作结论。 该问的话：这个数字是怎么测出来的？和线上的配置一样吗？
• 第 14 行 · 低危 · 兜底仍然依赖不可信的估算：这个预算上限，判断依据还是 SDK 自己估的美元数。从 0.1 调到 0.5，只是让它不再误触发，并没有让它变得可靠。 该问的话：这个兜底上限，是按什么数字来判断的？它靠得住吗？