fix(model): providerUpstreamError 的 error.code 过令牌守卫

error.code 与 error.type 一样是**自由文本面**：主流上游里是枚举，但网关、代理与
兼容层可以往里塞任何东西（包括回显的用户原文）。M41 已给 type 加了守卫，
providerUpstreamError 的 code 一直原样带出，是这一族里唯一还漏的字段。

守卫本色从 runtime/model（safeErrorToken）与 runtime/multimodal/voice
（dashscopeErrorToken）两份逐字同形的实现上提到 trace.ErrorToken，model 侧改为
调用它（voice 侧仍是自己那份，不在本切片文件面内，见随附 finding）。

唯一的行为变化就是「不像令牌的 code 变空串」：status / type / body 体积与 sha256、
错误文案模板、双 %w 哨兵链（ErrUpstream、trace.ErrUpstream）都不变。

验收：go build ./... + go vet ./... + trace/model 包 test 全绿；新增用例覆盖
「带空格标点的 code 变空串且 status/type 仍在」与「令牌形状的 code 保留」。

internal/runtime/model/upstream.go

@@ -4,7 +4,6 @@ import (
 	"fmt"
 	"io"
 	"net/http"
-	"strings"
 
 	"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/trace"
 )
@@ -24,10 +23,6 @@ import (
 // 错误体是攻击面，不是数据面。
 const errBodyCap = 512
 
-// maxErrorTokenBytes 是 error.code / error.type 允许出镜的长度上限（见
-// safeErrorToken）。
-const maxErrorTokenBytes = 64
-
 // upstreamLabel 报「这次调用实际打到哪」：优先主机（自建网关 / 代理下才看得出
 // 真实去向），取不到主机时退回 provider 名（代码里写死的短名）。两种形态都不含
 // 路径、查询串与凭据 —— 契约在 trace.HostOf。
@@ -45,12 +40,21 @@ func upstreamLabel(name, baseURL string) string {
 // 而这类 error 会被 `chat run` / `loop step` 打日志。截断到 512 字节只是把
 // 「整段泄漏」变成「前 512 字节泄漏」，不是修复。
 //
+// error.code 也要过令牌守卫（trace.ErrorToken）：它在主流上游是枚举，但网关、代理与
+// 兼容层可以往里面塞任何东西 —— 包括回显的输入。不像令牌的 code 一律变空串，代价只是
+// 少一条分类提示；status / body 摘要等诊断面不受影响。
+//
 // 双 %w：既保持 errors.Is(err, ErrUpstream)（降级链按它分类，主 → 备 → 本地），
 // 也让 errors.Is(err, trace.ErrUpstream) 成立（调用方按上游失败分类）。
 func providerUpstreamError(name, baseURL string, resp *http.Response) error {
 	body, _ := io.ReadAll(io.LimitReader(resp.Body, errBodyCap))
-	info := trace.UpstreamError(upstreamLabel(name, baseURL), resp.StatusCode,
-		resp.Header.Get("Content-Type"), body)
+	info, ok := trace.UpstreamError(upstreamLabel(name, baseURL), resp.StatusCode,
+		resp.Header.Get("Content-Type"), body).(*trace.UpstreamErrorInfo)
+	if !ok {
+		// helper 的构造是固定的，走不到这里；真走到也只少一条诊断，不破安全口径。
+		return fmt.Errorf("model: %w: status %d", ErrUpstream, resp.StatusCode)
+	}
+	info.Code = trace.ErrorToken(info.Code)
 	return fmt.Errorf("model: %w: %w", ErrUpstream, info)
 }
 
@@ -67,26 +71,6 @@ func streamEventError(upstream string, evt *anthropicStreamError) error {
 		// helper 的构造是固定的，走不到这里；真走到也只少一条诊断，不破安全口径。
 		return fmt.Errorf("model: %w: anthropic stream error event", ErrUpstream)
 	}
-	info.Type = safeErrorToken(evt.Type)
+	info.Type = trace.ErrorToken(evt.Type)
 	return fmt.Errorf("model: %w: %w", ErrUpstream, info)
 }
-
-// safeErrorToken 只放行「像协议令牌」的短串（字母、数字与 `_ . -`），其余一律
-// 丢弃。error.code / error.type 在主流上游是枚举，但它们是**自由文本面**：网关、
-// 代理与兼容层可以往里面塞任何东西。丢弃它的代价只是少一条分类提示，保留一个
-// 不受控字段的代价是她的话进日志。
-func safeErrorToken(s string) string {
-	s = strings.TrimSpace(s)
-	if s == "" || len(s) > maxErrorTokenBytes {
-		return ""
-	}
-	for _, r := range s {
-		switch {
-		case r >= 'a' && r <= 'z', r >= 'A' && r <= 'Z', r >= '0' && r <= '9':
-		case r == '_' || r == '.' || r == '-':
-		default:
-			return ""
-		}
-	}
-	return s
-}