fix(profit-control): stop leaking profit policy, close veto livelock, restore passthrough turn pricing

审计修复，逐条如下。

H1 利润策略泄露给所有普通用户
  profit_control_enabled / profit_min_margin / profit_safety_buffer 从
  dto.Group 移到 dto.AdminGroup（后者内嵌前者），赋值相应从
  groupFromServiceBase 移到 GroupFromServiceAdmin；前端 TS 同步从 Group 移到
  AdminGroup。dto.Group 是 GET /api/v1/groups/available 的响应体，该响应本就带
  rate_multiplier，相乘即可反推运营方上游采购成本上限。
  api_contract_test.go 的 /groups/available golden JSON 回滚这三个字段，并把
  fixture 改成非零值（require.JSONEq 是精确比对，缺字段即失败）。
  新增 dto 层边界测试：普通用户 DTO 不含三字段、管理员 DTO 仍含。

M1 利润终检 continue 与 failover 503 退避互动产生活锁
  FailoverState 新增 profitVetoedAccountIDs / profitVetoCount 与
  RecordProfitVeto()：加入排除集 + 计数，达 maxProfitVetoAttempts(10) 返回
  FailoverExhausted。HandleSelectionExhausted 的 503 清空分支改为清空后把利润
  否决的账号放回排除集；若排除集已全部由利润否决贡献，清空不会带来任何新候选，
  直接判定耗尽（否则 SwitchCount 永不前进、退避条件永远成立，每 2s 空转一轮）。
  五个 handler 否决点（gateway_handler ×2 / responses / chat_completions /
  gemini_v1beta）改为经 RecordProfitVeto 决策，耗尽时按无可用账号终止。
  回归测试钉死：503 之后持续利润否决必须有限步终止且不 spin；未启用利润控制的
  请求退避语义完全不变。

M2 排队等槽后才终检，延迟可放大到 N × WaitPlan.Timeout
  OpenAI 侧选号循环（自有 failedAccountIDs map，非 FailoverState）新增
  recordOpenAIProfitVeto + handleOpenAIProfitVetoExhausted，共用同一上限语义。
  覆盖 responses / messages-dispatch / chat_completions / alpha_search /
  embeddings / images / grok_media 七处，以及 WS 两处否决分支。

M4 ws_v2 透传 ingress 绕过 per-turn 重定价（选方案 B：最小止血）
  透传 relay 只回调 AfterTurn、没有任何 turn 起始回调，hooks.BeforeTurn 永远
  不触发，而 handler 把 turnPricingAt 初始化成建连时刻 ⇒ 透传连接全部 turn 按
  建连时刻的高峰因子结算，客户端峰前建连保活即可全程谷价——正是本 PR 想堵的
  漏洞。改为 openAIWSTurnPricing 零值起步、只由 BeforeTurn 冻结；透传路径保持
  零值，RecordUsage 回退记录时刻，与引入利润控制前的基线一致。
  未选方案 A（给透传补 turn 起始回调）：passthrough_relay.go 是 #5167 刚修过的
  取消传播/close frame 时序敏感区；且 BeforeTurn 还承担 turn>1 的并发槽位抢占，
  接进去等于给透传连接引入 per-turn 抢槽，风险远超本次修复范围。透传仍有建连时
  的准入门，只是没有 turn 级复核，已在两处注释写明。
  测试：service 层钉死透传 ingress 不触发 BeforeTurn（含失败时的复核指引），
  handler 层钉死零值语义与逐 turn 覆盖。

M5 装门读分组走了带账号计数聚合的 GetByID
  SchedulerSnapshotService 新增 GetGroupByIDLite，openai/gateway 两处装门改用
  之。门只需要平台/倍率/利润/高峰字段，且该查询发生在「是否启用利润控制」判定
  之前，未启用的分组同样付代价。两个测试 stub 的 GetByID 改成 panic 守卫。

M6 认证快照注释与真实读取路径相反
  门解析优先取 ctxkey.Group，而它就是本快照物化出来的对象，直连流量走的正是这
  条路。改正注释，与 api_key_repo.go 投影处的说明对齐，避免后人照旧注释删列。

M3 rate_multiplier 为 nil 时利润门 fail-closed（不改行为，加护栏）
  保留 fail-closed。补 repository 层测试钉死账号调度快照的 full/metadata 两份
  payload 都必须保留 RateMultiplier（含 0 值），漏列在 CI 就红。

L1 迁移号注释 191 / 191-192 改为实际的 192/193。
L2 admin group Create 的利润配置预校验改用与 CreateGroup 一致的归一化平台
   （新增 service.NormalizeGroupPlatform，两边共用）。保留预校验而非删除：
   service 层返回的是无类型 error，经 ErrorFrom 会变成 500，删掉会把合法的
   400 降级成 500。
L3 前端利润校验的上界改为判定换算后的小数（后端按小数校验 [0,1)），
   99.999% 会四舍五入进位成 1.0 而被后端 400；i18n en/zh 同步改为 0-99.99。
L4 clampProfitControlThreshold / profitControlOverThreshold 抽为共用函数，
   线上装门/否决点与 profit-preview 不再各自实现，附边界语义测试。
L5 profit-preview 补「默认 D 有账号但最低有效 D 归零」的告警（两档都为 0 由
   既有告警覆盖，不重复）。

frontend/src/i18n/locales/en/admin/overview.ts

@@ -1014,8 +1014,8 @@ export default {
         minMarginHint: 'Percent input, e.g. 30 means 30%; stored as a decimal on the backend',
         safetyBuffer: 'Safety buffer (%)',
         safetyBufferHint: 'Added to min margin and deducted from the downstream multiplier; defaults to 0',
-        marginRangeError: 'Min gross margin must be between 0 and 100 (exclusive)',
-        bufferRangeError: 'Safety buffer must be between 0 and 100 (exclusive)',
+        marginRangeError: 'Min gross margin must be between 0 and 99.99',
+        bufferRangeError: 'Safety buffer must be between 0 and 99.99',
         sumTooHigh: 'Min gross margin plus safety buffer must be less than 100%, otherwise every account would be excluded'
       },
       modelsList: {

frontend/src/i18n/locales/zh/admin/overview.ts

@@ -1011,8 +1011,8 @@ export default {
         minMarginHint: '百分比输入，如 30 表示 30%；后端按小数存储',
         safetyBuffer: '安全缓冲（%）',
         safetyBufferHint: '与最低毛利率相加后从下游倍率中扣除，默认 0',
-        marginRangeError: '最低毛利率应在 0 到 100 之间（不含 100）',
-        bufferRangeError: '安全缓冲应在 0 到 100 之间（不含 100）',
+        marginRangeError: '最低毛利率应在 0 到 99.99 之间',
+        bufferRangeError: '安全缓冲应在 0 到 99.99 之间',
         sumTooHigh: '最低毛利率与安全缓冲之和必须小于 100%，否则将排除全部账号'
       },
       modelsList: {

frontend/src/types/index.ts

@@ -549,10 +549,6 @@ export interface Group {
   peak_start: string
   peak_end: string
   peak_rate_multiplier: number
-  // 分组利润控制（openai/anthropic/gemini/grok/antigravity 分组可启用；margin/buffer 为小数存储）
-  profit_control_enabled: boolean
-  profit_min_margin: number
-  profit_safety_buffer: number
   // Claude Code 客户端限制
   claude_code_only: boolean
   fallback_group_id: number | null
@@ -570,6 +566,12 @@ export interface Group {
 }
 
 export interface AdminGroup extends Group {
+  // 分组利润控制（openai/anthropic/gemini/grok/antigravity 分组可启用；margin/buffer 为小数存储）。
+  // 仅管理员可见：与 rate_multiplier 相乘即可反推上游成本上限，不得下放到 Group。
+  profit_control_enabled: boolean
+  profit_min_margin: number
+  profit_safety_buffer: number
+
   // 模型路由配置（仅管理员可见，内部信息）
   model_routing: Record<string, number[]> | null
   model_routing_enabled: boolean

frontend/src/views/admin/__tests__/groupsProfitControl.spec.ts

@@ -150,4 +150,32 @@ describe("validateProfitControlFormState", () => {
       ),
     ).toBe("sumTooHigh");
   });
+
+  // 上界按换算后的小数判定：99.999% 会被 profitPercentToDecimal 四舍五入
+  // 进位成 1.0，后端 validProfitControlRatio 要求严格 < 1，前端必须先拦下。
+  it("rejects percents that round up to a decimal the backend rejects", () => {
+    expect(profitPercentToDecimal(99.999)).toBe(1);
+    expect(
+      validateProfitControlFormState(
+        formState({ profit_min_margin_percent: 99.999 }),
+      ),
+    ).toBe("marginRangeError");
+    expect(
+      validateProfitControlFormState(
+        formState({
+          profit_min_margin_percent: 0,
+          profit_safety_buffer_percent: 99.999,
+        }),
+      ),
+    ).toBe("bufferRangeError");
+  });
+
+  it("still accepts the largest percent that survives the rounding", () => {
+    expect(profitPercentToDecimal(99.99)).toBe(0.9999);
+    expect(
+      validateProfitControlFormState(
+        formState({ profit_min_margin_percent: 99.99 }),
+      ),
+    ).toBeNull();
+  });
 });

frontend/src/views/admin/groupsProfitControl.ts

@@ -32,24 +32,37 @@ export type ProfitControlFormState = {
 export const isProfitControlPlatform = (platform: string): boolean =>
   ["openai", "anthropic", "gemini", "grok", "antigravity"].includes(platform);
 
-// 提交前校验：margin/buffer 各自 ∈ [0,100)，且相加 < 100（否则阈值 <= 0，
+// 提交前校验：margin/buffer 各自 ∈ [0,1)，且相加 < 1（否则阈值 <= 0，
 // 所有可核价账号都会被排除）。返回 null 表示通过，否则返回错误信息的 i18n key
 //（相对 admin.groups.profitControl 前缀）。仅支持平台且开关开启时才校验。
+//
+// 上界校验必须落在 profitPercentToDecimal 的换算结果上，而不是界面百分比：
+// 后端 validProfitControlRatio 校验的是小数 [0,1)，而 99.999% 会被四舍五入
+// 进位成 1.0——按百分比判 `< 100` 会让前端放行、后端 400。
 export const validateProfitControlFormState = (
   form: ProfitControlFormState,
 ): string | null => {
   if (!isProfitControlPlatform(form.platform) || !form.profit_control_enabled) {
     return null;
   }
-  const margin = Number(form.profit_min_margin_percent || 0);
-  const buffer = Number(form.profit_safety_buffer_percent || 0);
-  if (!Number.isFinite(margin) || margin < 0 || margin >= 100) {
+  const marginPercent = Number(form.profit_min_margin_percent || 0);
+  const bufferPercent = Number(form.profit_safety_buffer_percent || 0);
+  if (!Number.isFinite(marginPercent) || marginPercent < 0) {
     return "marginRangeError";
   }
-  if (!Number.isFinite(buffer) || buffer < 0 || buffer >= 100) {
+  if (!Number.isFinite(bufferPercent) || bufferPercent < 0) {
     return "bufferRangeError";
   }
-  if (margin + buffer >= 100) {
+  // 校验实际提交给后端的小数值，边界按构造对齐。
+  const margin = profitPercentToDecimal(marginPercent);
+  const buffer = profitPercentToDecimal(bufferPercent);
+  if (margin >= 1) {
+    return "marginRangeError";
+  }
+  if (buffer >= 1) {
+    return "bufferRangeError";
+  }
+  if (margin + buffer >= 1) {
     return "sumTooHigh";
   }
   return null;