feat: G7 分层 fail-open/fail-closed + G8 Docker 轮询掐断 + G9 worker 忽略 host 预算 + G13/G14 归属（第三批）

- G7：认领门 closed 时查配额异常回 quota_check_unavailable、标 interrupted（可重试/续跑）；轮询与轮次边界用 open，异常时回 quota_check_failed——新回合边界拒绝，执行中轮询经 _quota_hit 闭包过滤此串、只记 warning 不杀在跑任务，确认超限才掐断；查询函数本身不吞异常冒充不限额。
- G8：Docker 路径加 _docker_call_with_quota_poll（后台线程跑阻塞式 docker 调用，主循环每 quota_poll_interval_seconds 缺省 30 秒查一次，确认超限按容器名真杀容器，结果改写 quota_exceeded 走统一收尾：interrupted、成本照记、续跑消息保留，配额命中后不走 ALREADY_EXISTS 回落）；同步路径保持边界检查。
- G9：worker 路径默认忽略 host max_daily_turns（host.py 顶层 --ignore-host-budget 只清该项，Local/Docker 执行器在子命令前追加，worker CLI 缺省开、--no-ignore-host-budget 关）；standalone 直接跑 host.py 时预算照常。
- G13/G14：/pr 不再走 system 豁免，建任务前按请求用户查配额（402/503 均不排队不改状态），队列路 pr_jobs.created_by 记请求用户（老表 ALTER 补列），worker 跑 pr 任务时审计操作人用 created_by（老行回落 system）。注意：G14 原案的 system 豁免（服务端与 worker 写死）与 P1 冲突（P1：system 按普通属主走默认额度，不另设无限额系统预算），本次 rebase 未合入该豁免，system 豁免需另行决策。
- 配额口径与 P0/P1 对齐：无配额行按默认额度（非不限额），只有显式 NULL 行才不限额；无价上限只计 source='actual' 行；缺属主（含父任务回查仍无）拒绝新回合。
- README 配额节同步以上口径与 G15 接受现状（best-effort 超支、UTC 月切分、在跑任务只在轮询/轮次边界响应配额改动）。G4 与 G15 不在本批。

cloud/pr_exec.py

@@ -48,8 +48,21 @@ def ensure_pr_jobs_table(conn):
         "project_id TEXT NOT NULL, host TEXT NOT NULL, "
         "status TEXT NOT NULL, pr_url TEXT, pr_number INTEGER, "
         "error TEXT, created_at REAL, updated_at REAL, "
-        "started_at REAL, finished_at REAL)"
+        "started_at REAL, finished_at REAL, created_by TEXT)"
     )
+    # 老表补列（G13：费用归属人）：PRAGMA 经 db.py 适配层翻译，
+    # SQLite 与 Postgres 同款写法（见 automations.py 同款模式）。
+    try:
+        _cols = {row[1] for row in conn.execute(
+            "PRAGMA table_info(pr_jobs)").fetchall()}
+    except Exception:
+        _cols = set()
+    if "created_by" not in _cols:
+        try:
+            conn.execute(
+                "ALTER TABLE pr_jobs ADD COLUMN created_by TEXT")
+        except Exception:
+            pass
     conn.commit()
 
 
@@ -75,15 +88,21 @@ def find_open_pr_job(conn, task_id):
                 "host": row[3], "status": row[4]}
 
 
-def enqueue_pr_job(conn, task_id, project_id, host):
-    """排一个 pr 任务（调用方已做去重）。返回 job id。"""
+def enqueue_pr_job(conn, task_id, project_id, host, created_by=None):
+    """排一个 pr 任务（调用方已做去重）。返回 job id。
+
+    created_by（G13）：请求 /pr 的用户 id，即费用归属人；
+    不传时为 None（老调用方 / 老行），worker 跑它时审计回
+    落到 "system"。server 的 _task_pr 队列路必传调用方。
+    """
     ensure_pr_jobs_table(conn)
     job_id = uuid.uuid4().hex
     now = time.time()
     conn.execute(
         "INSERT INTO pr_jobs(id, task_id, project_id, host, status,"
-        " created_at, updated_at) VALUES(?, ?, ?, ?, 'queued', ?, ?)",
-        (job_id, task_id, project_id, host, now, now))
+        " created_at, updated_at, created_by)"
+        " VALUES(?, ?, ?, ?, 'queued', ?, ?, ?)",
+        (job_id, task_id, project_id, host, now, now, created_by))
     conn.commit()
     return job_id
 
@@ -182,7 +201,8 @@ def execute_task_pr(db_path, task_id, user_id, worktrees_root=None,
     响应（PrSkipped -> 200 pr_skipped，PrStepError -> 502）。
 
     user_id：审计 pr_created 的操作人；server 端点传调用方，
-    worker 的 pr 任务循环传 "system"（与 sweep 同款约定）。
+    worker 的 pr 任务循环传 job 的 created_by（G13），老行
+    没有 created_by 时回落 "system"（与 sweep 同款约定）。
     token 只在本次调用内存里出现，不进库、不进日志。
     """
     conn = _db_connect(str(db_path))