fix(quota): enforce.ts não fail-open em limite 0/negativo/não-finito (hardening do #4830)

[diegosouzapw]

Contexto

Hardening de segurança em src/lib/quota/enforce.ts, sobre o código mergeado no #4830. Uma revisão de segurança automatizada apontou um fail-open / control regression (MEDIUM) no guard de placeholder de cota.

Problema

if (!(dim.limit > Number.EPSILON)) continue;

Esse predicado pulava o enforcement para qualquer limit <= EPSILON, não só o placeholder documentado. Consequências:

• limit = 0 (um operador configurando "bloquear tudo" no Wizard "Limite") → era silenciosamente liberado (fail-open).
• limit negativo (config corrompida) → também pulado (fail-open).
• NaN / Infinity → pulado silenciosamente.

Apenas Number.EPSILON é o placeholder real semeado em planRegistry.ts (glm/minimax/kimi-coding/deepseek = "configurar manualmente"). O predicado era largo demais.

Correção

if (dim.limit === Number.EPSILON) continue;          // único placeholder documentado
if (!Number.isFinite(dim.limit)) { log.warn(...); continue; }  // NaN/Infinity: observável
// 0 e negativo agora fluem para decideFairShare → block (global-saturated)

• Igualdade exata com Number.EPSILON — o único valor placeholder semeado.
• 0 e negativo passam a ser enforçados (deny). 0 = "bloquear tudo"; negativo = fail-closed.
• NaN/Infinity (nem armazenáveis via provider_plans JSON) continuam pulados, mas com warn-log → bypass observável em vez de silencioso.

Validação (Hard Rule #18 — TDD)

tests/unit/quota-enforce-misconfigured-limit-blocks.test.ts (failing-then-passing):

• limit=0 → block (antes: allow)
• limit=-100 → block (antes: allow)

Regressão preservada: quota-epsilon-unconfigured-allow (EPSILON segue liberado), quota-division-blocks (enforcement de limite real), quota-enforce / quota-fair-share (19/19), quota-exclusive-catalog-4806 (#4806). typecheck:core limpo, lint 0, file-size OK.

[gemini-code-assist]

Warning

You have reached your daily quota limit. Please wait up to 24 hours and I will start processing your requests again!

[chatgpt-codex-connector]

You have reached your Codex usage limits for code reviews. You can see your limits in the Codex usage dashboard.

[diegosouzapw]

Fechando como duplicata. O commit definidor desta branch (4a1ae868) é o refactor extract safeParseJSON util, dedup tryParseJSON que já está no release/v3.8.37 (#4735) — jsonUtil.ts existe e geminiHelper.ts/openai-to-claude.ts já chamam safeParseJSON. O título da PR ("fix(quota): enforce.ts não fail-open") não corresponde ao commit do topo, e o hardening de quota titulado não está neste commit (o enforce.ts é fail-open by design, B16). Sem perda de cobertura. (verificado por trust-but-verify na leva 4)