fix(provision): reconcile channel pricing and hosted access

docs/EXECUTION_BOARD.md

@@ -1,7 +1,7 @@
 # sub2api-cn-relay-manager 执行板
 
-日期：2026-05-19
-当前 Gate：CONDITIONAL_APPROVED（代码门禁通过；2026-05-18 fresh redeploy 验证确认 self_service / subscription 访问链路可打通；2026-05-19 current-code remote43 追踪后发现 DeepSeek/MiniMax 的 channel 创建请求漏传 model_mapping / restrict_models / billing_model_source，已补代码与测试，但真实宿主 access gate 仍需重新验收）
+日期：2026-05-20
+当前 Gate：BLOCKED（代码门禁仍通过，但 2026-05-20 current-code CRM(18092) + remote43 fresh host(18097) 真实宿主复验失败：DeepSeek batch=22、MiniMax batch=23 均仅到 `partially_succeeded/access_status=broken`；宿主普通用户 `/v1/models` 仍暴露 GPT 系默认模型，gateway closure 未通过，不能宣称可上线）
 目标：实现独立控制面、零侵入宿主、可导入国产模型并具备可运维的导入/回滚/访问闭环。
 
 ## 本轮已完成
@@ -36,7 +36,11 @@
 9. current-code remote43 导入链路已补齐 tunnel-aware 验证能力
    - `scripts/import_remote43_provider.sh` 新增 `CRM_HOST_BASE`，允许把“operator 访问 host 地址”和“CRM 进程访问 host 地址”分离
    - latest artifact：`/home/long/artifacts/real-host-acceptance/20260519_195827_remote43_deepseek_key_import`
-   - 结论：import / batch detail / managed resources 已真实落库；本轮定位到 channel 创建缺少 model_mapping / restrict_models / billing_model_source，已补齐实现与测试，待重新跑真实宿主验收
+   - 结论：import / batch detail / managed resources 已真实落库；前一轮定位到 channel 创建缺少 model_mapping / restrict_models / billing_model_source，已补齐实现与测试
+10. current-code remote43 access gate 根因修正已落地
+   - subscription access 改为宿主侧闭环：CRM 不再依赖外部预先给定的宿主普通用户 key，而是按 `subscription_users` selector 在宿主创建/查找托管普通用户、登录创建托管 key、回写 allowed_groups / balance、再执行订阅分配
+   - account 创建请求现在同步写入 `credentials.model_mapping`，修正 `/v1/models` 读取 account model whitelist 时回退到 GPT 默认集合的问题
+   - 新增/更新测试覆盖：`internal/access`、`internal/provision`、`internal/host/sub2api`
 
 ## 已验证门禁
 
@@ -76,35 +80,44 @@
    - `latest_access_status=broken`
    - `access preview available=false`
    - `reconcile status=drifted`，其中 `probe_failures=1`
-4. 根因归类
-   - `09-models.headers.txt` / `10-models.body.json` 显示普通用户实际看到的是 GPT 系模型，而非预期的 `deepseek-v4-pro`
-   - 因此本轮 FAIL 应归类为“上游 key/模型能力不匹配或普通用户绑定命中了错误 group”，不是 current-code CRM bootstrap / import 主链路故障。
+4. 当前修正
+   - 旧 artifact 中 `09-models.headers.txt` / `10-models.body.json` 暴露 GPT 系模型，根因已重新归类为：CRM 写了 channel model_mapping，但 account `credentials.model_mapping` 未同步，导致宿主 `/v1/models` 从 account 视图回退到默认模型集
+   - 同时，旧脚本/调用路径把外部 `subscription_users` / `access_api_key` 直接当宿主用户和宿主 key 使用，无法形成“宿主普通用户创建/查找 + key + 订阅分配”的真正闭环；该问题现已改为宿主托管闭环
+   - 代码侧阻断点已修复；下一步只剩 DeepSeek / MiniMax 真实 key 复验
 
 ## 剩余项（含当前外部门禁）
 
-1. DeepSeek / MiniMax real-host access gate 仍需复验（外部门禁）
-   - 真实宿主曾出现普通用户 `/v1/models` 暴露 GPT 系模型的漂移；本轮已补齐 channel 侧 model_mapping / restrict_models / billing_model_source 传参
-   - 53hk 中转 key 当前未验证可用，不能当作主结论
-   - 在 current-code remote43 路径上，这一项仍需重新跑真实验收
-2. 结构债务仍存在
+1. current-code real-host access gate 失败，需先修复再谈上线
+   - DeepSeek：artifact `artifacts/real-host-acceptance/20260520_123726_remote43_deepseek_key_import/03-import.body.json` 显示 `batch_id=22`、`batch_status=partially_succeeded`、`access_status=broken`
+   - MiniMax：current-code CRM(18092) 对 remote43 fresh host(18097) 手工复验得到 `batch_id=23`、`batch_status=partially_succeeded`、`access_status=broken`
+   - 两条链路的 `probe_summary_json` / gateway probe 都显示宿主普通用户 `/v1/models` 返回 GPT-5.x / GPT Image 默认集合，未暴露 DeepSeek / MiniMax 目标模型
+   - 2026-05-20 复核补充：fresh host 上 `groups/channels/account_groups` 已按期望落库，channel 也已具备 `model_mapping + restrict_models + billing_model_source=channel_mapped`；但 `accounts.credentials` 真实仅持久化 `api_key/base_url`，`GET /api/v1/admin/accounts/{id}/models` 仍返回 GPT 默认模型集，`POST /api/v1/admin/accounts/{id}/test` 也会默认拿 `gpt-5.4` 探测并报 `model_not_found`。当前根因已重新归类为“宿主 account 模型暴露契约仍未被 current-code 对齐”，不能再把问题简化成 `channel` 参数缺失或“只差同步 `credentials.model_mapping`”。
+   - pack contract 漂移已发现并修复：`packs/openai-cn-pack/providers/deepseek.json` 之前出现 `default_models/smoke_test_model` 与 `channel_template.model_mapping` 不一致；`internal/pack` 现已新增校验，要求 `smoke_test_model` 必须出现在 `channel_template.model_mapping`，且 `default_models` 必须被 `channel_template.model_mapping` 全量覆盖，避免类似漂移再次混入真实宿主验收。
+   - 2026-05-20 21:50 补充：已修复 current-code `channel` 创建/纠偏时 `model_pricing` 丢失的问题。CRM `http://127.0.0.1:18100` 对 `remote43-fresh18097-deepseek-1779280533` 复跑 `POST /api/providers/deepseek/import` 返回 `batch_id=4`、`access_status=subscription_ready`；宿主 `GET /api/v1/admin/channels/4` 已可见 `model_pricing=[{platform:"openai", models:["deepseek-v4-pro","deepseek-v4-flash"], billing_mode:"token", intervals:[]}]`，说明“已存在 channel 可 PUT 纠偏”已生效。当前 remaining gate 不再是 channel pricing 缺失，而是更高层的 provider/account 行为问题。
+2. 真实宿主脚本存在环境绑定缺陷
+   - `scripts/import_remote43_provider.sh` 仍把 Postgres/Redis 容器名硬编码到 `sub2api-relaymgr-pg` / `sub2api-relaymgr-redis`
+   - 当目标切到 fresh host(18097) 时，脚本会把 subscription user/key prep 误打到旧 relaymgr 宿主，导致 user id 错宿主、出现 `assign subscription for 10 ... 500`
+3. 结构债务仍存在
    - access / reconcile 尚未完全按 implementation plan 物理拆分
    - 无内置 scheduler/jobs
-3. 运营前置动作需要 runbook 化执行
-   - 真实宿主初始化不会自动创建普通用户；验收或上线前必须显式创建普通用户并留存可复用凭据
+4. 运营前置动作需要 runbook 化执行
+   - 真实宿主初始化不会自动创建普通用户；当前 CRM subscription 闭环声称可按 selector 自动托管宿主普通用户/key，但本轮 remote43 真实宿主复验未通过，不能把该能力当作已验收事实
    - `self_service` 需要普通用户 key 绑定目标标准 group，且通常还需要可用余额
    - `subscription` 需要 subscription 类型 group + 普通用户订阅分配 + key/group 绑定
-4. 标准多阶段 Dockerfile 在受限网络环境下仍不稳
+5. 标准多阶段 Dockerfile 在受限网络环境下仍不稳
    - 当前推荐 `scripts/build_local_image.sh` + `Dockerfile.local`
-5. 真实宿主验收工具已补自动化闭环
-   - `scripts/real_host_acceptance.sh` 支持 `AFTER_IMPORT_HOOK_COMMAND`，可把宿主侧 access 前置动作收敛进同一条 artifact 链
-   - `scripts/import_remote43_provider.sh` 已内置 remote43 subscription 的“补余额 + key/group 绑定 + subscription upsert + 定向 Redis 缓存失效 + host state 落盘”
+6. 真实宿主验收工具需补 host 级参数化
+   - `scripts/real_host_acceptance.sh` 的 `AFTER_IMPORT_HOOK_COMMAND` 仍有价值，但 remote43/fresh-host 变体还缺“目标 Postgres/Redis 容器名、目标 host env 文件、目标 forward 端口”的显式参数化
+   - 否则 artifact 会混入旧宿主状态，误导 gate 判断
 
 ## 当前最短上线路径
 
-1. 按 `docs/REAL_HOST_ACCEPTANCE_RUNBOOK.md` 准备真实宿主普通用户与凭据
-2. 按目标模式完成必要的 key/group/billing(or subscription) 绑定
-3. 使用 `scripts/build_local_image.sh` 与 `scripts/real_host_acceptance.sh` 复跑并归档现场 artifact
-4. 若现场前置满足，本项目按 PRD 首版范围可直接上线
+1. 先修 current-code 在真实宿主上的两个阻断点：
+   - 查清并修复为什么宿主 `accounts.credentials` 未持久化 `model_mapping`
+   - 给 remote43 验收脚本补目标 host 级参数化，避免 Postgres/Redis/host env 误指向旧 relaymgr
+2. 用 fresh host 重新跑 DeepSeek / MiniMax subscription 验收，要求 `/v1/models` 暴露目标模型且 `/v1/chat/completions` 返回 200
+3. 复跑 `provider status` / `access status` / `access preview` / `batch detail`，确认 `batch_status=succeeded`、`access_status=ready`
+4. 若现场前置满足，再重新评估是否恢复 CONDITIONAL_APPROVED / APPROVED
 
 ## 禁止错误结论