feat(provider): per-model/per-endpoint LLM call policy (request_timeout, max_retries)

[topcheer]

Per-Model / Per-Endpoint LLM Call Policy（request_timeout / max_retries）

研究依据（在线）

• LiteLLM per-model timeout/stream_timeout/num_retries 是行业惯例（provider 级一刀切超时无法适配长推理 vs 快速模型差异）
• Azure OpenAI / 各网关 per-deployment 重试配置惯例

Gap

ggcode 完全缺失 per-model/per-endpoint 超时与重试策略——全 provider 共享硬编码 providerRetryAttempts（20 次），无请求级 deadline。长推理模型（GPT-5.x Pro 等）与快速模型的超时需求无法分别配置。

实施（3 commits：938fdca9 → 76aa804 → c5cc907）

配置层（config.go / config_vendor.go / model_policy.go 新增）

• ModelLimitConfig 与 EndpointConfig 新增 request_timeout / max_retries；解析优先级 per-model 覆盖 > endpoint 级 > 零值默认
• callPolicy 类型（attempts()/withTimeout()）

接线层（76aa8041——初版反馈循环发现的关键 gap：策略定义了但无 provider 消费）

• OpenAI/Anthropic/Gemini 三 provider 增字段+setCallPolicy；CloneWithModel 保留策略（子代理换模型不丢配置）
• 23 处硬编码 providerRetryAttempts → p.policy.attempts()（openai 11 / anthropic 7 / gemini 5）
• 超时应用在 Chat 入口与每个 streamRead goroutine 内部（覆盖完整流生命周期，不提前取消）
• NewProvider 经 callPolicySetter 统一注入；未配置零值回退原行为（无 deadline、20 次重试）——完全 opt-in

测试（c5cc907c）

• 5 个新测试：解析优先级矩阵 / attempts 回退 / withTimeout 触发 DeadlineExceeded / registry 注入 / Clone 保留
• 过程中误覆盖 config_vendor_test.go 已完整恢复（[code-review] AddEndpoint documents 'already exists it is updated' but wholesale-replaces the EndpointConfig: setting just base_url via 'config set vendors.X.endpoints.Y' wipes API key, discovered models and SelectedModel (persisted); SetVendorAPIKey (2 production callers incl 'config set vendors.X.api_key') never writes keys.env - the exact onboarding-loop-on-restart bug #1435 fixed for AddVendor/AddEndpoint; RemoveEndpoint/RemoveVendor leave c.Endpoint/c.Vendor dangling so every startup re-triggers onboarding #1517/[business-logic] mcpServerConfigEqual omits OAuthClientID/OAuthClientSecret from its connection-affecting field comparison, so fixing a stale oauth_client_secret in yaml for a connected HTTP MCP server never triggers a rebuild - Reload classifies it as unchanged and the old connection keeps the old credentials until restart, silently defeating exactly the credential-fix flow the comparison exists to serve; the Remove/Add paths also have partial-failure holes: a failed write to one of the Claude migration files skips RecordMCPDeleted entirely so the surviving file re-imports the just-deleted server on next merge, and because recordMCPDeleted persists the tombstone BEFORE SaveMCPServers runs, a yaml write failure leaves a split state where the panel hides the entry but yaml keeps it forever - re-adding the same name then patches onto the residual entry and resurrects old env/oauth fields into the new config #1868 回归测试保留并通过）

遗留

openai-responses 与 copilot 协议未接入（registry 无 setter 的协议保持默认行为，代码注释标明）——可按同一模式低成本扩展。

Co-Authored-By: ggcode noreply@ggcode.dev

[topcheer]

复审通过 ✅（五重点核销）

① 23 处替换零值等价：attempts()=maxRetries>0?override:providerRetryAttempts——零配置 identity 回退（20 不变）；diff 抽查 anthropic 7 处（含 stream 循环+attempt<attempts()-1 边界+Retry N/M 显示）形态一致，无 off-by-one（边界含-1 与常量版逐位同构）。

② 超时取消传播：ChatStream 的 withTimeout 在 streamRead goroutine 内部 wrap（覆盖全流生命周期，ChatStream 立即返回不误杀）+defer cancel 同 goroutine；deadline 到期=ctx.Err 传播走既有 emitted 语义（已收 tokens 已发 ch 不丢——部分结果保留）；连接清理走既有 stream.Close defer 链。

③ CloneWithModel 继承：policy 值拷贝（callPolicy 两 int 字段）——子代理继承同策略是合理默认（策略是端点/模型属性非 agent 属性）；需更短 deadline 的场景经 SetCallPolicy 显式覆盖（setter 存在）。

④ #2530 时序裁定：先 #2528 后 #2530（本 PR 先合并；#2530 若冲突 rebase——openai_responses degrade-retry 接线点，预期平凡）。

⑤ 未接入面注释诚实（openai-responses/copilot 后续接）。

CI 9/9 绿。可合并（按④先序）。

[topcheer]

复审已过（见 review：零值 identity 回退等价/goroutine 内 wrap+emitted 语义保留部分结果/CloneWithModel 值继承/#2530 先序裁定/诚实注释）。与 main 冲突——#2524/#2525/#2526/#2527 先合并动了 anthropic.go 同区（struct 字段区+Chat 重试链）。分支 sa78-model-call-policy 有归属者本地 worktree 在途——请归属者 rebase main 解冲突，解后 CI 绿即合并。不代解。