fix: 修掉模型调用链路上的四处失效逻辑

- 超时：NewGateway 里 gw_timeout*time.Second 把已是 Duration 的值二次换算，
  int64 溢出后无论 OT_PROXY_TIMEOUT 填多少都等于没有超时，渠道 timeout_ms
  也从没被读过。现在非流式用 context deadline 约束整段时长，流式只约束首包
  （Transport.ResponseHeaderTimeout），正文不限时长，长回答不会被砍。
- 断连：上游请求改用 NewRequestWithContext 绑定客户端 context，客户端断开即
  取消上游并记 canceled，不再空转生成继续付费；PATCH 已写 200 头后不再往
  响应里追加错误体。
- 白名单：APIKey.AllowedModels 以前只存不用，现在 Auth 注入 context 并参与
  判定（用户黑名单 > 密钥白名单 > 用户白名单 > 全局）。
- 选路：模型已有渠道绑定时只用绑定渠道，都不可用直接 503 no_channel，不再
  把请求发给不认识它的渠道；新增运行期健康（连续 3 次网络错误/超时/429/5xx
  进 30s 冷却，成功清零），与 60s 一次的 /models 探测互补。
- 密钥 API：PATCH 回显更新后的完整对象；限额填 0 统一视为不限制（原来
  token 配额存 0 会让密钥第一次请求就被 429 打死，而请求配额存 0 又等于
  不限制，两个字段语义相反）；前端编辑框总是提交白名单，清空能真的取消。

测试：新增 proxy 链路集成测试（超时生效、流式不被截断、断连取消并记账、
密钥白名单 403、连续 429 后候选剔除）与 channel 用例（绑定模型不退全局、
冷却阈值与到期恢复、成功清零）。

server/internal/proxy/handlers.go

@@ -25,7 +25,7 @@ func (g *Gateway) chatCompletions(c *gin.Context) {
 	c.Set("protocol", convert.ProtoChat)
 	c.Set("model_name", br.Model)
 	g.recordRawRequest(c, u, body)
-	if !g.checkModelAllowed(u, br.Model) {
+	if !g.checkModelAllowed(c, u, br.Model) {
 		apiError(c, http.StatusForbidden, "model_not_allowed", "模型未对你开放，请联系管理员")
 		return
 	}
@@ -58,7 +58,7 @@ func (g *Gateway) responses(c *gin.Context) {
 	c.Set("protocol", convert.ProtoResponses)
 	c.Set("model_name", br.Model)
 	g.recordRawRequest(c, u, body)
-	if !g.checkModelAllowed(u, br.Model) {
+	if !g.checkModelAllowed(c, u, br.Model) {
 		apiError(c, http.StatusForbidden, "model_not_allowed", "模型未对你开放，请联系管理员")
 		return
 	}
@@ -91,7 +91,7 @@ func (g *Gateway) messages(c *gin.Context) {
 	c.Set("protocol", convert.ProtoMessages)
 	c.Set("model_name", br.Model)
 	g.recordRawRequest(c, u, body)
-	if !g.checkModelAllowed(u, br.Model) {
+	if !g.checkModelAllowed(c, u, br.Model) {
 		apiError(c, http.StatusForbidden, "model_not_allowed", "模型未对你开放，请联系管理员")
 		return
 	}
@@ -125,7 +125,7 @@ func apiError(c *gin.Context, status int, code, message string) {
 	if p, _ := c.Get("protocol"); p == convert.ProtoMessages {
 		// Anthropic 格式
 		c.AbortWithStatusJSON(status, gin.H{
-			"type": "error",
+			"type":  "error",
 			"error": gin.H{"type": errorTypeFor(status), "message": message},
 		})
 		return