[Feature] 支持统一配置白标 User-Agent（appIdentity），对所有 provider 生效

[MwumLi]

动机

起因来自 [Bug] HTTP 403 授权拒绝被归类为 AUTH，UI 显示 "API key is invalid"，原始错误不可见 的问题。
部分网关/提供方按 User-Agent 做 allowlist 策略（例如企业内部网关只放行特定客户端标识）。当前 dsh 的所有 LLM 请求都强制发送固定的 deepseek-harness/<version> (+https://github.com/deepseek-ai/deepseek-harness)，白标/企业部署无法替换，导致这类网关无法接入。

现状

1. packages/llm/llm/src/attribution.ts：attributionHeaders(identity) 函数参数已支持自定义 AppIdentity，但没有部署配置管道；默认 APP_IDENTITY 硬编码
2. llm-deepseek：无相关配置键
3. llm-pi-ai：provider profile 的 headers 配置会把 user-agent 作为保留名剥离（requestHeaders()），无法通过 headers 覆盖

期望

提供一个统一的配置点，作用于所有 provider：

# settings.yaml
llm:
  appIdentity:
    product: my-product
    version: 1.0.0
    url: https://my-site.example

所有 provider（deepseek-official、llm-pi-ai 下的各 route）的请求 User-Agent 都替换为 my-product/1.0.0 (+https://my-site.example)。

设计建议

• 由 LlmRuntime（ctx.llm）拥有并暴露 appIdentity，默认 APP_IDENTITY
• 各 adapter 从 ctx.llm.appIdentity() 读取，传入 attributionHeaders(identity)
• 语义是替换而非抑制：未配置时仍发送 harness 默认身份，归因不会被关闭
• 配置热更新（settings 变更后下一次请求生效）

兼容性

• 默认行为不变（仍发送 deepseek-harness/...）
• 为白标/企业部署提供合法身份替换路径，同时保留强制归因的底线

[zoahdev]

核验通过（对照 main/master HEAD 99f6f02 rc.7）——你的三点现状描述全部成立，且提案与现有"归因不可抑制"不变量天然对齐。

1. attribution.ts 支持自定义身份但无配置管道——成立。 packages/llm/llm/src/attribution.ts:28-32 的 APP_IDENTITY 是硬编码默认；:66-72 attributionHeaders(identity = APP_IDENTITY) 参数已支持自定义 AppIdentity，但全仓库唯一调用点都是无参 attributionHeaders()。

2. llm-deepseek 无配置键——成立。 packages/llm/llm-deepseek/src/adapter.ts:291：...attributionHeaders() 固定用默认身份；该包没有任何 appIdentity 配置键。

3. llm-pi-ai 剥离 user-agent 且不可用 headers 覆盖——成立，且这是有意的保留名规则。 packages/llm/llm-pi-ai/src/adapter.ts:177-185：requestHeaders() 先按 attribution 键名做大小写不敏感过滤（reserved.has(name.toLowerCase())），再强制追加默认 attribution——部署 headers.user-agent 必被剥掉。config.ts:123 的注释写明 "Harness attribution wins reserved names"。

提案与现有不变量一致：attribution.ts:49-52 明确 "nothing can suppress attribution entirely；omission falls back to this default"——你设计的"替换而非抑制"（未配置仍发 harness 默认身份）正是现有语义的配置化延伸，不是新引入的安全缺口。

实现上的三点建议：

1. 身份归属：LlmRuntime 拥有 appIdentity 正确；注意 attribution.ts:12-15 的版本来源注释（package.json 是唯一版本源）——白标身份的 version 应来自部署配置而非包 manifest，你的 version: 1.0.0 例子已隐含这点，写进文档即可。
2. 保留名规则不动：pi-ai 的 reserved-name 过滤逻辑保留，只是 attribution 来源从 attributionHeaders() 改为 attributionHeaders(ctx.llm.appIdentity())——deepseek adapter.ts:291 与 pi-ai discovery.ts:249 两处调用点同步即可。
3. 回归测试：加一条"部署 headers 仍不能覆盖 user-agent"的保留名断言（现有不变量锁死），再加配置→adapter 的集成用例（identity 变更后下一次请求生效）。

这属于低风险、可 cherry-pick 的配置管道补全；与 #3222（403 被归为 AUTH）是两半：这个解决"网关按 UA 放行"的接入问题，那个解决错误分类的可见性问题。值得合并评估。

[MwumLi]

官方未支持前临时应对用这个插件：https://github.com/MwumLi/dsh-fetch-header-rewrite
具体看 dsh-fetch-header-rewrite —— 可配置的请求头改写插件（User-Agent 等） #3227