维护者确认：远程订阅会话状态栏对齐被控端 Claude 余量显示

[MagicLizi]

PR #3789 把控制端远程会话底部用量 chip 从「仅会话金额 / 货币符号占位」改成：在显式选择 anthropic 的 device-link 远程会话上，按与本机订阅会话一致的形态显示被控端 Claude 订阅余量（5h/周/分模型窗口剩余 + 会话金额）。\n\n这是用户看得见的产品行为变化（chip 文案与悬停额度卡数据来源都变了），需要维护者确认产品方向：\n- 是否接受控制端展示被控端订阅余量；\n- 默认路由（providerId 为空）远程会话维持原「仅会话金额」是否符合预期；\n- chip 不可点（避免打开控制端自己的账号看板）是否接受。\n\n确认方式：直接在 PR 上 Approve；若需要修改请 Request Changes，作者改完后再 Approve 即放行。

---

关联 PR:#3789(作者 @fico-hub);本 issue 由 review-pr 流程自动创建,用于先讨论该 PR 涉及的产品 / UI 变更,维护者确认后 PR 会恢复推进。

[dash-s-cindy]

判断：远程会话显示被控端 Claude 订阅余量能够让用户看到实际消耗账号的 5h、周限及模型窗口剩余，并与本机订阅会话保持一致的解释方式；默认路由继续只显示会话金额、控制端 chip 不打开控制端自己的账号看板，也符合数据归属和用户预期。该产品方向值得推进。\n\n行动：建议暂不批准 #3789，先 Request Changes，修复远程快照的账号边界和能力缓存失效问题；修复后重新运行相关 review 与定向测试，再决定合并。\n\n## 已确认的现状\n\n当前 main 快照 2a039176935c71ee0e1a6377defccbea738b034b 已明确将 device-link 远程会话视为额度事实在被控端：\n\n- apps/desktop/src/renderer/components/status/TodaySpendChip.tsx 以 deviceLinkDeviceId 判定远程会话，并在本机 Claude、Codex、xAI 和 Gateway 额度读取路径中排除该会话。\n- 同一组件保留本会话金额/价值估算的展示，并将 device-link 的看板 URL 设为 null，避免在控制端浏览器打开控制端自己的账号看板。\n- 当前快照中没有 useRemoteClaudeSubscriptionUsage 实现，说明 #3789 的被控端快照镜像能力尚未进入 main；现有 maker:usage:claude-subscription 仍是本机 Desktop 用量 IPC。\n\n因此，#3790 讨论的是一个尚未合并的用户可见产品扩展，不是当前 main 上已经存在的回归或重复报告。\n\n## 产品决策建议\n\n以下三项可以作为 #3789 的产品放行条件：\n\n1. 显式选择 Anthropic 时显示被控端余量：接受。远程会话实际在被控端运行，余量也应来自被控端，复用既有 Claude 订阅 chip 和 QuotaHoverCard 形态能提供直接用户价值。\n2. 默认路由 providerId == null 继续只显示会话金额：接受。PR 已说明控制端拿不到被控端 proxy 对每请求路由的权威观察值，不能用控制端 OAuth 或 Gateway key 状态猜测，否则会把控制端账号状态错误地套到被控端会话上。\n3. 远程 chip 不可点击且 tooltip 不提供看板链接：接受。被控端账号的看板不能通过控制端本地浏览器安全、准确地打开；保留金额和余量信息、去掉错误入口，比指向错误账号更稳妥。\n\n## 需要先修复的实现问题\n\n### 1. 异步 invoke 结果缺少 owner 边界保护\n\n#3789 的 review 已指出，apps/desktop/src/renderer/hooks/useRemoteClaudeSubscriptionUsage.ts 中，异步 invoke 返回结果写入按 deviceId 维度存活的缓存时，没有验证请求发起时的本地 owner/generation。典型时序是：\n\n1. 控制端账号 A 发起被控端用量读取；\n2. 控制端切换到账号 B，React 路由重挂载；\n3. 旧请求返回；\n4. 旧结果写入仍按 deviceId 共享的缓存；\n5. 账号 B 看到账号 A 取得的订阅余量，尤其在同一 deviceId 继续打开远程会话且新读取失败时更明显。\n\n现有 apps/desktop/src/renderer/lib/remoteDataOwnerPushFence.ts 只证明实时 push 已有可复用的 owner fence；它不能自动保护另一个未校验的异步 invoke 回填。建议在请求发起时捕获本地 owner stamp/generation，并在应用结果前再次校验；或者把缓存明确纳入 owner 作用域。该问题涉及跨账号数据展示，必须在合并前处理。\n\n### 2. CHANNEL_NOT_ALLOWED 能力缓存需要失效机制\n\nPR 当前设计把老被控端返回 CHANNEL_NOT_ALLOWED 的结果按 deviceId 记忆，并在后续挂载和刷新时跳过重新探测。这样可以减少无意义请求，但如果被控端随后升级、allowlist 能力发生变化或重新建立兼容连接，控制端可能一直停留在“仅会话金额”降级状态，直到 renderer 重启。\n\n建议至少在以下边界之一使“不支持”记录失效并重新探测：\n\n- device-link 重连或会话重新建立；\n- allowlist/capability hash 变化；\n- 控制端主动刷新或重新进入该远程会话。\n\n该缓存不应阻止已升级的被控端恢复展示能力。\n\n## 验证建议\n\n修复后建议补齐以下定向验证：\n\n- owner A 发起 invoke、切换到 owner B、旧 invoke 晚到：旧结果不得进入 B 的缓存或 UI；\n- 同一 deviceId 下从旧被控端收到 CHANNEL_NOT_ALLOWED，被控端升级/能力 hash 变化后重新探测并成功展示；\n- 实时 push 在控制端 owner 切换、被控端 owner 切换及设备重连时继续经过现有双端 fence；\n- 新控制端 + 老被控端降级、老控制端 + 新被控端忽略未知 push、断线重连和组件重挂载；\n- 显式 Anthropic 远程会话显示被控端数据；默认路由仍只有会话金额；远程 chip 不可点击且 tooltip 不生成本机看板链接。\n\nPR 已报告的 unit/typecheck 和组件测试是有价值的基础，但目前没有双机实机联调；至少应在修复后的 CI/测试环境验证上述跨 owner、能力恢复和版本偏差矩阵。\n\n## 相关记录\n\n- #3789：当前功能实现 PR，直接承载被控端 Claude 余量的 invoke、push、缓存及 chip 渲染；目前仍有未解决的 owner fence 和能力缓存问题。\n- #2824：已合并的 SuperGrok 订阅余量实现，确立了订阅余量必须绑定实际账号、远程会话不读取控制端本地快照的产品和数据隔离原则。\n- #2768：同类订阅余量 chip 的实现记录，进一步支持“按明确供应商能力展示订阅窗口、缺少可靠事实时保持现有降级”的做法；其 device-link 排除原则与 #3789 的远程扩展形成直接背景。