fix: 修掉模型调用链路上的四处失效逻辑

- 超时：NewGateway 里 gw_timeout*time.Second 把已是 Duration 的值二次换算，
  int64 溢出后无论 OT_PROXY_TIMEOUT 填多少都等于没有超时，渠道 timeout_ms
  也从没被读过。现在非流式用 context deadline 约束整段时长，流式只约束首包
  （Transport.ResponseHeaderTimeout），正文不限时长，长回答不会被砍。
- 断连：上游请求改用 NewRequestWithContext 绑定客户端 context，客户端断开即
  取消上游并记 canceled，不再空转生成继续付费；PATCH 已写 200 头后不再往
  响应里追加错误体。
- 白名单：APIKey.AllowedModels 以前只存不用，现在 Auth 注入 context 并参与
  判定（用户黑名单 > 密钥白名单 > 用户白名单 > 全局）。
- 选路：模型已有渠道绑定时只用绑定渠道，都不可用直接 503 no_channel，不再
  把请求发给不认识它的渠道；新增运行期健康（连续 3 次网络错误/超时/429/5xx
  进 30s 冷却，成功清零），与 60s 一次的 /models 探测互补。
- 密钥 API：PATCH 回显更新后的完整对象；限额填 0 统一视为不限制（原来
  token 配额存 0 会让密钥第一次请求就被 429 打死，而请求配额存 0 又等于
  不限制，两个字段语义相反）；前端编辑框总是提交白名单，清空能真的取消。

测试：新增 proxy 链路集成测试（超时生效、流式不被截断、断连取消并记账、
密钥白名单 403、连续 429 后候选剔除）与 channel 用例（绑定模型不退全局、
冷却阈值与到期恢复、成功清零）。

README.md

@@ -13,7 +13,8 @@
   - `GET /v1/models` — 可用模型列表
   - **三协议互转**：客户端协议 × 渠道协议不匹配时自动转换（如 Chat 调用 Claude、Messages 调用 OpenAI、Responses 调用 Claude），流式逐事件转换；协议匹配时直通
   - 错误按客户端协议返回（OpenAI 格式 / Anthropic 格式）
-- **渠道体系**：按模型绑定选渠道 + 加权负载均衡；每渠道并发信号量（满载溢出）；后台健康检查（连续失败进 cooldown、恢复放回）；可安全重试的失败自动故障转移（网络错误/429/5xx/超时且未写出响应头）
+- **渠道体系**：按模型绑定选渠道 + 加权负载均衡；模型已有绑定时只用绑定渠道（都不可用则 503，不会把请求发给不认识它的渠道）；每渠道并发信号量（满载溢出）；后台健康检查（探测 `/models`，连续失败进 cooldown、恢复放回）+ 运行期健康（连续 3 次网络错误/超时/429/5xx 进 30s 冷却，成功即清零）；可安全重试的失败自动故障转移（网络错误/429/5xx/超时且未写出响应头）
+- **上游超时**：渠道 `timeout_ms` 生效——非流式为整段请求上限，流式仅约束首包（正文不限时长）；上游请求绑定客户端 context，断连即取消
 - **限流/配额**（内存计数）：密钥级每日请求数 / Token 数配额、用户级每秒速率（`OT_RATELIMIT_USER_RPS`）；超限返回 429
 - **前端**：Dashboard / 管理总览骨架屏加载态
 - **用户体系**：注册（开放/邀请码可切换，管理后台可改）、登录（JWT access + HttpOnly refresh cookie）、argon2id 密码