feat: 卡网关按运营商账户限流并记录停复机调用

- 新增网关限流：按本系统运营商账户（卡 carrier_id）→ 限流组 → 操作限制每秒请求数，每次 HTTP 尝试计量，默认限流、仅后台人工点击/通道阈值/自动续费/手动刷新豁免；支持只统计与拦截两种模式，默认只统计
- Asynq 遇限流不计失败、固定短延迟重试；轮询任务与停复机业务重试遇限流短延迟重排
- 停机、复机不再使用网关内部重试，只发一次请求
- 网关返回结构化错误；新增上游错误分类规则表与测试接口
- 新增按月分区的停复机记录表：系统自动停复机只写记录，不再写统一审计与集成日志；普通轮询查询不再写集成日志
- 新增限流组、错误分类、停复机记录、按账户调用统计与枚举后台接口
- 迁移 000243~000246；同步 OpenSpec 提案（含后续 6 个 change）与技术方案、工程约束

docs/engineering/工程约束.md

@@ -283,9 +283,9 @@
 - **最小正例**：外部失败写脱敏 Integration Log，HTTP 请求写 Access Log。
 - **最小反例**：把完整凭证写 app.log。
 - **机械检查/人工原因**：人工核对 Logger 字段、Sanitizer 与事实存储；本地按 request_id/correlation_id 查询日志。
-- **例外条件**：第三方要求回显的非敏感渠道码可保留。
+- **例外条件**：第三方要求回显的非敏感渠道码可保留。卡网关调用（add-carrier-gateway-rate-limit）：普通轮询查询不写 Integration Log，失败原因与调用量由 Redis 按运营商账户的分钟计数与卡最近错误承载（同时是优先执行的轮次仍写）；系统自动停复机不写 Integration Log 与 Audit Event，每次上游调用写停复机记录表 `tb_card_stop_resume_record`；后台人工点击、通道阈值、自动续费及账户、个人客户、OpenAPI 发起的停复机保持原写法。
 - **Owner**：审计与安全负责人
-- **最后验证日期**：2026-08-07
+- **最后验证日期**：2026-10-24
 - **更新触发条件**：日志字段、保留策略或外部集成变化
 
 ## ENG-SECRET-001