Lumoswitch 风控控制台
Lumoswitch 的公开推理流量全部直达 Lumoswitch Runtime。Lumoswitch 只保存业务配置并通过 Lumoswitch internal management API 同步期望状态；请求鉴权、限流、阻断和 Guardrail 均由 Lumoswitch Runtime 在实时请求链路中执行。
控制台的“Lumoswitch 风控”页面直接展示和修改运行时可执行的选项，不维护另一套内容风险阈值。结算链路会在发现未定价正数用量时生成范围明确的本地账务风险事件。
未定价用量
平台模型只保存管理员明确配置的计费项，不会把 3 项 Token 价格自动扩展为 5 项。未配置的图片、音频、视频、Reasoning、缓存写入或其他计量项出现正数用量时，本次请求保留完整用量并按 0 元结算，同时生成 UNPRICED_USAGE 风险和 billing hold，阻断该用户后续运行时访问。固定请求费是可选附加费，省略表示不收取，不触发该风险。
风控页显示模型、计量项、数量、用户、Configuration、Access Key 和关联请求。管理员可以补充正常价格，或选择“整项设为免费”，把该计量项已有规则替换为单一无条件 0 元价格并解除对应 hold。只有最新活动价格能匹配触发事件的实际用量上下文时，系统才认为来源已修复；否则强制释放必须填写依据，并由另一名管理员审批。
网关级控制
管理员可以管理：
- 每个模型 deployment 的并发上限（Lumoswitch Runtime
general_settings.max_parallel_requests）。 - 整个 Lumoswitch Runtime 网关的全局并发上限。
- 单次请求与响应的最大体积。
- 客户端断开后取消上游请求。
- 拒绝客户端自定义 metadata tags。
空的数字字段表示移除数据库中的覆盖值，恢复 Lumoswitch Runtime 当前配置或默认值。
Configuration 与 Virtual Key
每个 Lumoswitch Configuration 会映射到受管 Lumoswitch Access Key。控制台可以直接调整：
blocked：立即阻断或恢复 Key。rpm_limit：每分钟请求上限。tpm_limit：每分钟 Token 上限。model_rpm_limit与model_tpm_limit：按模型设置每分钟请求/Token 上限。max_parallel_requests：Key 级最大并发。models与allowed_routes：由 Configuration 模型和协议设置生成并展示。
保存后 Lumoswitch 会更新业务期望状态并立即同步 Lumoswitch Runtime。账户禁用、账务 hold 等平台阻断优先级更高；页面会标明这类 Key 不能在这里解除。Team 预算仍由 Lumoswitch 账本余额生成并同步到 Lumoswitch Runtime，不接受绕过账本的手工预算修改。
Guardrail
页面会读取当前 Lumoswitch Runtime 支持的 Guardrail provider 和 mode，并列出来自 config.yaml 与 Lumoswitch Runtime 数据库的 Guardrail。
管理员可以创建数据库 Guardrail，配置 provider、mode、default_on、说明以及 provider 专属 JSON 参数。default_on=true 表示 Lumoswitch Runtime 对适用请求全局执行。控制台只能删除数据库 Guardrail；config.yaml 中声明的 Guardrail 必须通过部署配置变更。
当前版本边界
页面会读取 /health/license 显示当前 Lumoswitch Runtime 许可证范围。当前 Community 部署可直接管理 Virtual Key 的模型、路由、整体及按模型 RPM/TPM、并发、封禁，Team 预算/封禁，网关硬限制和全局 Guardrail。
Lumoswitch Runtime 标记为 Enterprise 的能力不会在控制台生成无效开关，包括按 Key/Team 指派 Guardrail、模型级预算和部分高级预算策略。升级到包含这些接口的 Lumoswitch Runtime 版本后，应先扩展并验证 Admin Client 合同，再开放对应表单。
账务安全不是重复内容风控
Spend 幂等导入、无法结算用量的隔离、余额不足和 billing hold 仍由 Lumoswitch 账务主流程强制执行。这些机制保护账本一致性，并通过 Team/Key 同步影响 Lumoswitch Runtime；除未定价用量等范围明确的账务事件外，系统不运行通用的定时风险扫描。
排障时依次检查 Configuration 同步状态、Virtual Key 状态、Team 预算、Guardrail 和活动 billing hold。请勿在日志、截图、聊天或工单中发送完整 Access Key、上游 API Key、验证码或密码。