10/18 晚间速报：混合号池里的 ultrafast 不分账号就发出去；codex2api 的审计列出还没堵的几处

混合号池里，ultrafast 不分账号就发出去

• 目录侧：池子里只要有一个启用的 Codex 账号 plan_type=promax，就给 gpt-6.1-sol 与 gpt-6-astra（含别名）追加 ultrafast；删号、停用或降档到最后一个也不剩，下一次目录请求就不再出现。
• 请求侧：选完凭证之后，OAuth 账号带 promax 权益的保留 ultrafast，其余改成 priority；API Key 那条路照旧透传。

1. 客户端会发 ultrafast 的，先挡在门口：payload 的 filter 删掉 service_tier，或 override 成 priority。v8.0.32 的 config.example.yaml 里 override 段正好有这个示例9。
2. override 是无条件覆盖，ProMax 号的 ultrafast 也会被一起压成 priority。想按账号分流，现在没有开关可配。

codex2api 的审计把请求上限补齐，还差几处得自己挡

• 请求内存预算默认 128 MB，但预占发生在读取之前，按 Content-Length 的声明值扣（middleware.go 第 83–84 行）12。三条声明 48 MB、实际不发 body 的连接就能占满预算，之后所有带 body 的接口回 503。
• http.Server 只设了 ReadHeaderTimeout 30 秒与 IdleTimeout 120 秒，没有 ReadTimeout（main.go 第 655–661 行）13。WriteTimeout 按注释必须保持 0，因为流式回答会跑几分钟。
• 请求解析缓存只按条目数限 256，没有字节上限（proxy/translator.go 第 192 行）14。

1. 反代限 body 与读超时：client_max_body_size、proxy_read_timeout。这是唯一能挡住「声明长度、不发 body」那类连接的一层。
2. WebSocket 按 IP 限连接数，/responses 与 /realtime 的升级请求单独限速。
3. 管理端 /admin 前置登录限速——代码里没有这一层。
4. usage_log_mode 不要设 off 或 errors：审计写明会让 RPM/RPD/成本/Token 窗口全部失效，只剩 quota_limit 还在。
5. 多副本部署时按副本数折算：RPM/RPD 计数在进程内，实际放行量会按副本放大。
6. 对公网的 Key 关掉 /v1/alpha/search，或反代拦掉——审计说它绕过按 Key 限流、模型黑白名单与 scope 预算。

上期那条易支付回调，报障人补了查单接口后恢复

窗口内其余：三条老单在动

上游与额度