feat: G7 分层 fail-open/fail-closed + G8 Docker 轮询掐断 + G9 worker 忽略 host 预算 + G13/G14 归属（第三批）

- G7：认领门 closed 时查配额异常回 quota_check_unavailable、标 interrupted（可重试/续跑）；轮询与轮次边界用 open，异常时回 quota_check_failed——新回合边界拒绝，执行中轮询经 _quota_hit 闭包过滤此串、只记 warning 不杀在跑任务，确认超限才掐断；查询函数本身不吞异常冒充不限额。
- G8：Docker 路径加 _docker_call_with_quota_poll（后台线程跑阻塞式 docker 调用，主循环每 quota_poll_interval_seconds 缺省 30 秒查一次，确认超限按容器名真杀容器，结果改写 quota_exceeded 走统一收尾：interrupted、成本照记、续跑消息保留，配额命中后不走 ALREADY_EXISTS 回落）；同步路径保持边界检查。
- G9：worker 路径默认忽略 host max_daily_turns（host.py 顶层 --ignore-host-budget 只清该项，Local/Docker 执行器在子命令前追加，worker CLI 缺省开、--no-ignore-host-budget 关）；standalone 直接跑 host.py 时预算照常。
- G13/G14：/pr 不再走 system 豁免，建任务前按请求用户查配额（402/503 均不排队不改状态），队列路 pr_jobs.created_by 记请求用户（老表 ALTER 补列），worker 跑 pr 任务时审计操作人用 created_by（老行回落 system）。注意：G14 原案的 system 豁免（服务端与 worker 写死）与 P1 冲突（P1：system 按普通属主走默认额度，不另设无限额系统预算），本次 rebase 未合入该豁免，system 豁免需另行决策。
- 配额口径与 P0/P1 对齐：无配额行按默认额度（非不限额），只有显式 NULL 行才不限额；无价上限只计 source='actual' 行；缺属主（含父任务回查仍无）拒绝新回合。
- README 配额节同步以上口径与 G15 接受现状（best-effort 超支、UTC 月切分、在跑任务只在轮询/轮次边界响应配额改动）。G4 与 G15 不在本批。

cloud/server.py

@@ -6368,7 +6368,7 @@ class CloudControlPlaneHandler(BaseHTTPRequestHandler):
         month)，调用方一律回 402——这是钱用完了，不是请求
         太快，所以不用 429。
 
-        准入点：建任务 / 分支 / 重试 / 续跑，均为权限校验
+        准入点：建任务 / 分支 / 重试 / 续跑 / goal-resume，均为权限校验
         通过后、写库之前。P0 安全批后，后续消息与任务间
         消息创建时同样查双人配额门（见
         _reject_if_over_quota_for_task）：排队本身不花钱，
@@ -6376,12 +6376,24 @@ class CloudControlPlaneHandler(BaseHTTPRequestHandler):
         “超限用户靠他人任务续命”，所以创建时先拦一道，
         执行时轮次边界门仍照常生效。
 
+        fail-open / fail-closed 分层（G7）：服务端准入点查
+        配额异常时 fail-closed——_reject_if_over_quota 回
+        明确的 503 quota_check_unavailable 且不改状态，绝不
+        因查询抖动把“不知道超没超”当成放行。system 操作人
+        不豁免，按普通属主走默认额度（G14 的 system 豁免与
+        P1 冲突，本次未合入）。
+        执行侧查配额异常时分层：认领门（closed）回
+        quota_check_unavailable、调用方标 interrupted；轮询与
+        轮次边界（open）回 quota_check_failed——新回合边界见
+        此串即拒绝，轮询经 _quota_hit 闭包过滤此串、只记
+        warning 不杀在跑任务，只有确认超限才掐断。
+
         跑中掐断（与旧 docstring 不同，旧说法已过时）：
-        Local popen 路径的 worker 轮询每 30 秒查一次配额，
-        超限杀进程组；Docker / 同步路径没有轮询钩子，只有
-        认领与轮次边界检查，单轮内的超支要到轮次结束才停；
-        单轮本身的钱无法按 token 流式截断（用量只在回合
-        结束才回传），掐断粒度是轮次边界 + 长轮询中的
+        Local popen 与 Docker 路径的 worker 轮询每 30 秒查
+        一次配额，超限杀进程组/容器；同步路径没有轮询钩子，
+        只有认领与轮次边界检查，单轮内的超支要到轮次结束
+        才停；单轮本身的钱无法按 token 流式截断（用量只在
+        回合结束才回传），掐断粒度是轮次边界 + 长轮询中的
         30 秒检查，不是 token 级。"""
         quota, used, month = self._quota_status(user_id)
         if quota is not None and used >= quota:
@@ -6395,8 +6407,19 @@ class CloudControlPlaneHandler(BaseHTTPRequestHandler):
         方就是创建者，缺省即调用方；重试 / 续跑时费用记在
         原任务创建者名下，必须传 task 的 created_by，否则
         维护者替他人重试会用错人的额度（旧 bug：重试按
-        操作人查、费用记创建者名下）。"""
-        blocked = self._check_quota(quota_user_id or user_id)
+        操作人查、费用记创建者名下）。
+
+        查询异常时 fail-closed：回 503 quota_check_unavailable
+        且不改状态。调用方看到 503 应重试请求本身，而不是
+        认为任务已建好——本函数回 True 时调用方一律直接
+        return，不写库。"""
+        try:
+            blocked = self._check_quota(quota_user_id or user_id)
+        except Exception:
+            self._send_json(503, {"error": "quota_check_unavailable",
+                                  "detail": "quota lookup failed; "
+                                  "no task was created or queued"})
+            return True
         if blocked is not None:
             quota, used, month = blocked
             self._send_json(402, {"error": "quota_exceeded",
@@ -6690,6 +6713,14 @@ class CloudControlPlaneHandler(BaseHTTPRequestHandler):
                 "status": task["status"],
             })
             return
+        # G13：/pr 不再走 system 豁免。请求用户即费用归属人，
+        # 建任务前先过配额门（超限 402、查询异常 503，均不改
+        # 状态、不排队）；这是有意收紧的口径，见 PR 描述——
+        # PR 本身不跑模型回合，纯 git/gh 操作几乎不花钱，合
+        # 并前若认为“已完成工作的 PR 不应被配额挡住”，可把
+        # 这一门改回豁免而不动归属列（created_by 照常记录）。
+        if self._reject_if_over_quota(user_id):
+            return
         # HA 阶段 1：worktree 在别机时不直接跑，排 pr 任务给该主机；
         # 本机（或 worktree_host 未记录的老任务）走同步路。
         worktree_host = task.get("worktree_host")
@@ -6701,7 +6732,8 @@ class CloudControlPlaneHandler(BaseHTTPRequestHandler):
                     job_id = existing["id"]
                 else:
                     job_id = enqueue_pr_job(
-                        conn, task_id, task["project_id"], worktree_host)
+                        conn, task_id, task["project_id"], worktree_host,
+                        created_by=user_id)
             finally:
                 conn.close()
             self._send_json(200, {