[Bug] 设置里删除 provider 模型后：部署默认不级联、新会话不重校验，请求继续发往已删除模型并真实计费

[aaaa0ggMC]

Summary

在设置里删除某个 provider 的精选模型（保留 provider）后，DSH 的模型持久化三层都不做校验：

1. agent-default-model 原地不动：currentSelection() 只读 config，无目录校验、无删除级联；
2. 新会话用无校验的默认 seeding：agentOptions() 把 agentDefaultModel.currentSelection() 直接作为初始模型；
3. 会话级选择耐久且永不重校验：会话一旦发出请求，modelSelection 投影把 {provider, model} 折成 lastUsed 写进会话日志，之后每一轮、每次恢复都复用它。

结果是：设置里已经删掉的模型，新会话照用不误，并且持续发出真实计费请求，直到 provider 余额耗尽才报错（一次已知事故：在设置里删掉唯一添加的付费模型后继续使用，新会话沿用该模型真实计费数十步，直到收到 HTTP 402 余额不足 PI_AI_ERROR 才停止）。

附带问题：把该 provider 的精选模型删空后，dsh-llm-pi-ai 的「models 键缺失与为空是同一意图——都表示服务 pi-ai 内置目录」规则生效，该 provider 会一次性暴露内置全量目录（OpenRouter 约 490 个），被删的模型仍在其中、仍然可路由；用户在模型选择器里会看到列表突然暴增。

Reproduction

不需要真的花钱即可复现机制：

1. 配置一个 provider（任意 pi-ai 路由），只添加一个模型 M；
2. 在任一会话里显式选择 M——selectModel 会顺带在后台 saveSelection，部署默认从此刻起变成 M；
3. 在设置里删除 M（provider 保留）；
4. 新建一个会话（或让 DSH 在后台跑一个任务）：新会话以陈旧默认 M seeding，会话日志的 request/header 即为 M，请求照常发出。

真实环境实测中发现的行为不一致（同一「陈旧默认」，两种结局）：

• 部署默认指向「provider 未配置/无凭据的模型」时，建/恢复会话直接失败（UNKNOWN_MODEL / MISSING_CREDENTIAL）；
• 部署默认指向「仍在目录里但设置里已删」的模型时，静默路由并真实计费。

取决于目录形状，用户无法预期是哪一种。

Current behavior

代码路径（master 39163dd，2026-11-13 核对；与 0.2.1-rc.5 逐条比对语义一致，git log 无相关修复）：

• packages/core/agent-default-model/src/index.ts：currentSelection() 只读 config；saveSelection 写 profile 配置；设置里删模型不触动它；
• packages/api/session-controller/src/agent.ts agentOptions()：把 agentDefaultModel.currentSelection() 直接作为新会话初始模型（新版改为惰性 getter，「无记录/无请求的会话跟随默认变化」，仍无目录校验）；
• packages/api/session-controller/src/commands.ts selectModel：requireModel（modelAvailable）通过后 agent.model.select 追加耐久的 model/selection 事件，并在后台 saveSelection——这就是一次显式选择把部署默认改掉的机制；
• packages/api/session-controller/src/agent.ts selectionFor：有记录的选择 ⇒ 用记录；否则有请求头 ⇒ 用请求头里的 provider/model；都没有才回落默认。设置里删模型不会改这些记录；
• packages/llm/llm-pi-ai/src/catalog.ts resolveRouteModels：「absent models key and an empty one are the same request … both mean 'serve the installed catalog'」——删空精选 ⇒ 暴露内置全量目录，已删模型仍可路由。

取证方式（供复现核对）：会话日志 ~/.dsh/sessions/<workspace>/<session-id>/session.v4.jsonl.zstd（zstd -dc 解压）里的 request/header 记录每轮实际使用的 provider/model；~/.dsh/storages/session_projcache/sessions/<id>.json 的 record.rows.modelSelection.val.lastUsed 记录会话的有效模型；profile 的 cordis.patch.yml 里 agent-default-model 与 llm-pi-ai 两节反映配置现状。

已知事故（已脱敏）：在设置里删掉唯一添加的付费模型后继续使用，新会话沿用该模型真实计费数十步，直到 provider 返回 402 余额不足（PI_AI_ERROR）才停止；同时模型选择器列出了数百个模型。

Expected behavior

1. 删除设置里的模型时，校验并级联 agent-default-model：当前默认的模型被删时，UI 明确警告并回退到首个可用模型（或清空），最低要求是不要用目录无法提供的默认给新会话 seeding；
2. 轮次开始（或会话恢复）时重新校验会话级选择：模型不再可用则快速失败并给出明确错误，而不是让请求真的打到 provider、花了钱才报 402/配额；
3. 删空 catalog-known provider 的最后一个精选模型时提示「删除后该 provider 将暴露 pi-ai 内置目录的全部 N 个模型」；
4. （可选）selectModel 后台保存默认时，若原默认已失效应一并处理或告警。

Environment

• DSH 0.2.1-rc.5（npm 安装版，Linux）与最新源码 master 39163dd（2026-11-13）均存在；
• 复现不需要特定 provider：任何「设置里删了模型但 provider 保留」的组合均可。