多用户生产级缺口批：sweep 鉴权、默认配额、默认 executor、 无价 token 上限

- POST /admin/sweep 改走任一项目 maintainer+ 门槛（与备份管理同口径），否则 403，记 admin_sweep 审计；threshold 下限钳 60 秒
- OAuth 建号 created=True 时写默认配额行（默认 $10/月，CLOUD_DEFAULT_QUOTA_USD_MICROS 可调，INSERT OR IGNORE 幂等）；老用户无配额行不受影响
- 建任务未指定且无环境继承时默认 executor=docker（分支继承为空时同理）；CLOUD_DEFAULT_EXECUTOR 可覆盖，空字符串恢复旧行为；命令台下拉默认改为 docker
- 无价模型 token 上限：价目表外模型（默认 terra）成本 usd 为 NULL，USD 配额永不生效；有配额行的用户当月无价 token 达 CLOUD_QUOTA_UNPRICED_TOKEN_CAP（默认 2000 万/月）即停，服务端 402、worker 认领/重试/后续消息同口径；报表仍记 unpriced，不折假美元
- 测试：新增 test_multiuser_gaps 11 个 + test_worker_quota 3 个；全量 cloud 668、host 64、deploy 19 全过

cloud/worker.py

@@ -139,7 +139,8 @@ from cloud.coordinator import DEFAULT_POLL_INTERVAL as _COORD_POLL_INTERVAL
 from cloud.coordinator import DEFAULT_TIMEOUT_SECONDS as _COORD_TIMEOUT
 from cloud.coordinator import ensure_columns as _coord_ensure_columns
 from cloud.coordinator import parse_parts as _coord_parse_parts
-from cloud.cost import CostStore, estimate_tokens, price_usd_micros, sum_usage
+from cloud.cost import CostStore, estimate_tokens, price_usd_micros, \
+    sum_usage, unpriced_token_cap
 from cloud.db import connect as _db_connect
 from cloud.logging_config import get_logger, log_event, setup_logging
 from cloud.models import ModelRouter, is_fallbackable, record_fallback
@@ -832,9 +833,14 @@ class Worker:
         口径与服务端准入（_quota_status）一致：按任务创建者算，
         当月（UTC）已记账用量 + 本轮已累计用量（按价目表换算，
         无价模型按 0 计，与服务端 SUM（usd NULL 不计）一致）。
-        无配额行 = 不限额。查询本身异常时按不限额处理（fail-open
-        并记一条警告）：配额是第二道网，绝不能因查询抖动把全部
-        任务挡在门外；服务端建任务/分支/重试时的准入仍是第一道。
+        另有一道无价 token 上限（与服务端
+        _check_unpriced_token_cap 同口径）：USD 配额不计量无价
+        模型，默认模型 terra 无价，若无此上限则配额对默认模型
+        永远不生效；有配额行的用户当月无价 token（input +
+        output，已记账 + 本轮）达到上限即停。无配额行 = 不限额。
+        查询本身异常时按不限额处理（fail-open 并记一条警告）：
+        配额是第二道网，绝不能因查询抖动把全部任务挡在门外；
+        服务端建任务/分支/重试时的准入仍是第一道。
         """
         owner = (task or {}).get("created_by")
         if not owner:
@@ -873,6 +879,14 @@ class Worker:
                     " WHERE t.created_by = ? AND c.day LIKE ?",
                     (owner, month + "%")).fetchone()
                 used = used_row[0] if used_row else 0
+                unpriced_row = conn.execute(
+                    "SELECT COALESCE(SUM(c.input_tokens + c.output_tokens), 0)"
+                    " FROM cost_records c JOIN tasks t"
+                    " ON c.task_id = t.id"
+                    " WHERE t.created_by = ? AND c.day LIKE ?"
+                    " AND c.usd_micros IS NULL",
+                    (owner, month + "%")).fetchone()
+                unpriced_used = unpriced_row[0] if unpriced_row else 0
             finally:
                 conn.close()
             if usage_total:
@@ -882,9 +896,20 @@ class Worker:
                     usage_total.get("cached_input_tokens", 0),
                     usage_total.get("output_tokens", 0))
                 used += micros or 0
+                if micros is None:
+                    # 无价模型：本轮 token 计入无价上限（USD 口
+                    # 径里它是 0，不会在上面那道里被拦住）。
+                    unpriced_used += (
+                        max(0, int(usage_total.get("input_tokens", 0)))
+                        + max(0, int(usage_total.get("output_tokens", 0))))
             if used >= quota:
                 return ("quota_exceeded: 本月配额已用完（已用 %d / "
                         "配额 %d 微美元，%s）" % (used, quota, month))
+            cap = unpriced_token_cap()
+            if unpriced_used >= cap:
+                return ("quota_exceeded: 本月无价模型 token 已用完"
+                        "（已用 %d / 上限 %d，%s）"
+                        % (unpriced_used, cap, month))
             return None
         except Exception as exc:
             try: