fix(model): providerUpstreamError 的 error.code 过令牌守卫

error.code 与 error.type 一样是**自由文本面**：主流上游里是枚举，但网关、代理与
兼容层可以往里塞任何东西（包括回显的用户原文）。M41 已给 type 加了守卫，
providerUpstreamError 的 code 一直原样带出，是这一族里唯一还漏的字段。

守卫本色从 runtime/model（safeErrorToken）与 runtime/multimodal/voice
（dashscopeErrorToken）两份逐字同形的实现上提到 trace.ErrorToken，model 侧改为
调用它（voice 侧仍是自己那份，不在本切片文件面内，见随附 finding）。

唯一的行为变化就是「不像令牌的 code 变空串」：status / type / body 体积与 sha256、
错误文案模板、双 %w 哨兵链（ErrUpstream、trace.ErrUpstream）都不变。

验收：go build ./... + go vet ./... + trace/model 包 test 全绿；新增用例覆盖
「带空格标点的 code 变空串且 status/type 仍在」与「令牌形状的 code 保留」。

internal/runtime/trace/errortoken.go

@@ -0,0 +1,37 @@
+package trace
+
+import "strings"
+
+// 本文件是「上游错误信封里的自由文本字段能不能出镜」的唯一守卫。
+//
+// 背景：UpstreamErrorInfo 只解析 error.code / error.type 两个字段，而它们是**自由
+// 文本面** —— 主流上游里它们确实是枚举（invalid_request_error、overloaded_error、
+// Throttling.RateQuota …），但网关、代理与兼容层可以往里面塞任何东西，包括回显的
+// 用户原文。因此这两个字段出镜前必须像令牌：短、只含标识符字符。
+//
+// 丢弃的代价只是少一条分类提示；保留一个不受控字段的代价是她的话进日志。这道守卫
+// 原先在 runtime/model（safeErrorToken）与 runtime/multimodal/voice
+// （dashscopeErrorToken）各有一份逐字同形的实现，M46 把同一份收敛到这里。
+
+// maxErrorTokenBytes 是 error.code / error.type / request_id 允许出镜的长度上限。
+// 64 字节足够容纳任何真实的枚举与 UUID 形状，又远小于「一段话」。
+const maxErrorTokenBytes = 64
+
+// ErrorToken 只放行「像协议令牌」的短串（字母、数字与 `_ . -`），其余一律丢弃并返回
+// 空串 —— 包括带空格、标点、引号的散文，以及超长串。调用方据此决定「这个字段出不
+// 出镜」，而不是先出镜再清洗。
+func ErrorToken(s string) string {
+	s = strings.TrimSpace(s)
+	if s == "" || len(s) > maxErrorTokenBytes {
+		return ""
+	}
+	for _, r := range s {
+		switch {
+		case r >= 'a' && r <= 'z', r >= 'A' && r <= 'Z', r >= '0' && r <= '9':
+		case r == '_' || r == '.' || r == '-':
+		default:
+			return ""
+		}
+	}
+	return s
+}

internal/runtime/trace/errortoken_test.go

@@ -0,0 +1,63 @@
+package trace
+
+// 本文件钉住 ErrorToken 的唯一职责：error.code / error.type 这类**自由文本面**只有
+// 「像协议令牌」才允许出镜。它们在上游里是枚举，但网关、代理与兼容层可以往里面塞任何
+// 东西 —— 包括回显的用户原文。
+//
+// 每条用例都是「把它放宽就变红」的形状。
+
+import (
+	"strings"
+	"testing"
+)
+
+// TestErrorTokenKeepsProtocolTokens 真实枚举必须原样通过：丢掉它们的代价是少一条
+// 分类提示（重试 / 降级 / 熔断的口径）。
+func TestErrorTokenKeepsProtocolTokens(t *testing.T) {
+	t.Parallel()
+	for _, token := range []string{
+		"invalid_request_error",
+		"overloaded_error",
+		"Throttling.RateQuota",
+		"rate-limit",
+		"429",
+		"  sparse_error  ",
+	} {
+		if got := ErrorToken(token); got != strings.TrimSpace(token) {
+			t.Fatalf("ErrorToken(%q) = %q, want 令牌原值（去首尾空白）", token, got)
+		}
+	}
+}
+
+// TestErrorTokenDropsFreeText 只有像令牌才出镜：带空格、标点、引号的散文一律空串 ——
+// 那正是「上游把用户原文回显进 code」的形态。
+func TestErrorTokenDropsFreeText(t *testing.T) {
+	t.Parallel()
+	for _, text := range []string{
+		"Invalid value: '她刚才说的那句话'",
+		"prompt is too long",
+		"```json\n{\"a\":1}\n```",
+		"bad,code",
+		"code=1",
+		"",
+		"   ",
+		"line\nbreak",
+		"emoji🙂",
+	} {
+		if got := ErrorToken(text); got != "" {
+			t.Fatalf("ErrorToken(%q) = %q, want 空串", text, got)
+		}
+	}
+}
+
+// TestErrorTokenRejectsOverlong 超长串不是令牌（边界 64 字节），否则「话」可以靠长度
+// 混进来。
+func TestErrorTokenRejectsOverlong(t *testing.T) {
+	t.Parallel()
+	if got := ErrorToken(strings.Repeat("a", 64)); got == "" {
+		t.Fatal("64 字节的令牌被误杀（边界应含）")
+	}
+	if got := ErrorToken(strings.Repeat("a", 65)); got != "" {
+		t.Fatalf("超长串被放行：%q", got)
+	}
+}