[mapxn]

动机

WorkBuddy 账号的模型目录里会列出一些 Pro 专属模型：它们能被 /v1/models 查出来，但实际调用会被上游拒绝。下游（尤其是自动选模型的 agent）看到这些模型后去调，只能拿到上游报错，浪费一次请求、污染重试逻辑。网关侧需要一种"让某些模型彻底消失"的能力。

改动

新增 models.hidden 配置项示例：

"models": {
  "hidden": ["deepseek-pro", "cn:legacy-model"]
}

• 裸名 = cn: 和 global: 两域都藏；"cn:xxx" / "global:xxx" 前缀 = 只藏该域（与 resolveModel 的 [realm:]model 协议对称，大小写敏感）
• 两处生效：
  1. GET /v1/models —— 列表里直接过滤掉，下游看不到
  2. POST /v1/chat/completions —— 点名硬调直接 400 model_unavailable，不打上游、不占选号（只藏列表不够，知道名字仍可调）
• 面板保存后经 livecfg 热生效，无需重启（与 api_key / soft_rate 同一机制）

实现要点

• internal/livecfg: Snapshot.HiddenModels + NormalizeHiddenModels()（配置→精确 id 集合的一次性归一化，查询侧零解析成本）
• internal/server: modelList() 两处过滤（CN / global 分支，id 本来就带域前缀，直接查集合）；chatCompletions 在 resolveModel 之后拦截；loadLive() 的 nil fallback 也覆盖（测试路径）
• cmd/server: Config.Models.Hidden + 启动/热应用两处快照填充 + server.Config.ModelsHidden 接线
• 错误码沿用 model_unavailable（与上游 11102 同一口径，客户端会换模型而不是重试）

测试

• TestNormalizeHiddenModels: 裸名展开两域、前缀精确、空白裁剪、非法前缀视为裸名、nil 回 nil
• TestChatHiddenModelRejected: 裸名/cn:/global: 三种写法都 400，且上游零调用；global: 精确隐藏不影响 cn: 同名；未隐藏模型照常放行
• TestModelsHiddenFiltered: 预置动态模型缓存，/v1/models 不含隐藏模型
• go build ./... / go vet 通过；全量 go test 仅 TestModelsEndpoint 失败（该用例依赖真实上游，在干净树上同样失败，非本 PR 引入）

文档

• config.example.json 加示例 + 注释
• README 字段速查表 + 热生效清单同步更新