sub2api 开通授初始余额：余额为 0 的 key 在网关侧直接 403

cloud/README.md

@@ -1033,6 +1033,10 @@ interrupted 且终态任务 cancel 返回 400、心跳后 sweep 不扫刚心跳
   任务直接 failed，绝不跑错网关。协调员子任务无 created_by 时
   跟父任务属主走。key 明文存 PG，与 GitHub App 私钥同一信任
   边界（库只在宿主 loopback 可达）；at-rest 加密是后续项。
+  开通同时授初始余额：`CLOUD_SUB2API_OPENING_BALANCE_USD`
+  （默认 10 美元，显式配 0 表示不授；非法/负值回落默认）——
+  网关鉴权层在余额 ≤ 0 时直接 403，不授余额的 key 立刻不可
+  用；授余额失败时 key 与账号一并清理再抛错，不留孤儿。
 - 注入：worker 在三条执行路径（Local popen、Local 同步、Docker
   同步）都注入任务级 env：`SUB2API_API_KEY`（属主的 key）、
   `SUB2API_BASE_URL`，并把网关 host 追加进 NO_PROXY（否则