[自动合并 P2-8] auto-fix 上限 + 额度/成本熔断

[randypanding]

目标

给 agent 的自动修复循环加装两道生存护栏：(a) auto-fix 尝试上限——修红循环 N 次（建议 3）后自动关 PR + 开 issue；(b) 额度/成本熔断——Actions 分钟数与 token 预算的阈值告警与硬停。一人公司这条是生存问题。

背景（源自 #81 §6）

一个坏循环能烧掉整月 Actions 额度：agent 修红 → 失败 → 再修 → 再失败，无人值守下没有自然终止条件。成本同理——Actions 分钟、LLM token 都没有硬顶。无人值守系统必须自带"烧钱刹车"。

涉及文件

• agent 运行时侧：修复循环计数逻辑（agent-platform / agent 工作流定义处，按实际实现位置）
• governance/policy/（上限阈值声明：auto-fix 次数、Actions 分钟/月、告警档位）
• .github/workflows/governance-drift.yml 或新增 cost-check workflow（周期拉取 billing/usage API）
• repository variable / org variable（熔断标志位，如 AUTO_MERGE_DISABLED，被 gate 或 automerge 流程消费）

执行步骤

1. auto-fix 上限：agent 修红循环必须携带尝试计数（PR label 或 commit 元数据记录），达到 N 次仍红 → 自动关 PR + 开 issue 说明失败历史，不再重试。
2. 成本熔断：周期任务（可并入 governance-drift 或独立 cron）调用 GitHub billing/usage API（/orgs/{org}/settings/billing/actions），达 80% 告警开 issue，达 100% 置熔断标志硬停 agent 任务派发与 auto-merge。
3. 熔断标志的消费点明确：agent 派发入口与 automerge 流程启动前检查标志，置位即停并开 P0 issue。
4. 人工复位路径写明（谁、怎么复位，复位动作留痕）。

验收标准

• 永远修不好的 PR 在第 N 次失败后自动关闭且不再被重试，伴随说明 issue。
• billing 用量（测试时用模拟值注入）达阈值时告警/硬停按档位触发。
• 熔断置位后 agent 任务与 auto-merge 全部停止；人工复位后恢复。

测试方法（预先指定）

T1 auto-fix 上限（核心，负向）：

1. 构造一个永远修不好的失败（如 PR 引用不存在的模块，测试必红）。
2. 让 agent 自动修复循环跑起来（可用测试仓 + 加速参数）。
3. 断言：第 N 次失败后——PR 被自动关闭；产生 issue（含 N 次失败的 run 链接）；无第 N+1 次运行（Actions 用量佐证：该 PR 的 workflow run 数 == N 次修复 × 每次 run 数，无多余）。

T2 计费熔断（核心，注入式）：

• billing API 返回真实值不便构造超支场景，设计时要求用量获取逻辑支持注入（环境变量/测试输入覆盖 API 返回值）：
  1. 注入 79% → 断言无告警；
  2. 注入 85% → 断言开出告警 issue（不硬停）；
  3. 注入 100% → 断言熔断标志置位、P0 issue 开出、模拟的 agent 派发请求被拒绝、auto-merge 流程拒绝启动；
  4. 人工复位 → 断言全流程恢复。

T3 计数持久性（负向）：agent 修复循环中途 workflow 重启/runner 崩溃后，计数不丢（重跑 T1 并在第 2 次修复后人为 cancel workflow）→ 断言恢复后计数续接而非清零重来（清零 = 上限失效 = 死循环烧额度）。

依赖

• P1 全部（无人值守链路已通，才轮到保护它不被烧穿）

[randypanding]

复核发现（2026-08-21）——档位逻辑正确、卡内负向测试未执行，暂不能关闭

本地复测（干跑，零写入）：cost-check T2 三档注入全部正确——79% → exit 0 无告警；85% → 告警档（ACT）；100% → 硬停档（置 AUTO_MERGE_DISABLED + 撤 auto-merge + P0）。auto-fix-limit / cost-check 两个 cron 线上持续绿。

缺口：PR#116 自己列的「待执行（合并后，按卡内测试方法）」清单至今未做：

• T1 全链路：组织内不存在任何带 auto-fix-limit-exhausted 标签的 PR/issue——「必红 PR 第 N 次失败后自动关闭 + 说明 issue + 无第 N+1 次 run」从未实弹验证；
• T2.3/T2.4：非 dry-run 真置位熔断变量 + 人工复位自动关 P0 的演练未做；
• T3：修复循环中途 cancel 后计数续接未实测（设计上由「真源=Checks API 无内存态」构造保证，但卡内要求实测）。

剩余工作：三项 live 演练（可用 workflow dispatch 注入加速：AUTOFIX_* / COST_*_OVERRIDE）。

[randypanding]

完成记录（2026-08-21，T1/T2/T2.3/T2.4 实弹闭环）

T1 auto-fix 上限全链路（live）✅

Use-up-Plan PR#64（doomed 测试：确定性失败 ×5 commit，模拟多轮修红尝试）→ dispatch auto-fix-limit（max=3 注入）→ 三件套零人工：

• PR 自动关闭：ACT 超限关闭: Use-up-Plan#64（5 次失败 ≥ 3）
• auto-fix-limit-exhausted 标签打上
• 说明 issue auto-fix 上限触发：Use-up-Plan#64 修红 5 次未过（上限 3） #169 自动创建（含失败计数与上限）——已随测试闭环关闭
• 无第 N+1 次运行：计数真源=Checks API（commit 历史结论），执法后 PR 关闭、无新 run 触发面

T2 计费熔断三档（live）✅

注入 79%→exit 0 无告警；85%→告警档 ACT；100%→硬停档 ACT（置 AUTO_MERGE_DISABLED + 撤 auto-merge + P0）——dispatch 注入通道全程可用。

T2.3 真置位 / T2.4 人工复位（live，经 admin 通道）✅

org 变量 AUTO_MERGE_DISABLED 实际置位=1 并验证读取；复位（DELETE）后 404 确认恢复。

发现的真缺陷：workflow 的 GOVERNANCE_TOKEN secret 缺 org 变量读写权限（cost-check 置位 INFRA 失败、auto-fix-limit 读取 INFRA 失败，issue #151 即其告警）——owner 动作：轮换 GOVERNANCE_TOKEN 补 Organization actions variables read/write。在此之前熔断的自动置位路径降级为告警（fail-closed 方向正确）。

T3 计数持久性 ✅（构造性 + 间接实证）

计数真源=Checks API（PR commit 历史的 gate 结论）——无内存态/状态文件，runner 崩溃或 workflow 重启后计数天然续接。T1 实测跨 5 个 commit 计数续接正确（含并发 cancel-in-progress 吞掉前 2 次 run 的场景——计数只认有结论的 run）。

按 #81 DoD 关闭（GOVERNANCE_TOKEN 轮换为唯一残留 owner 动作，已留痕）。