[Task][P1] 将模型 Fallback 迁移为可配置失败切换策略 #314

本单的独立交付

只失败切换；与 #313 约定尝试总上界，不将重试和候选数隐式相乘。

输入与输出

按序模型候选、允许切换错误及切换上限 → 确定候选序列及最终结果。

必须通过的行为验收

A 可切换失败后调用 B；A 非切换错误时 B 调用 0 次；耗尽后结构化失败；已公开流内容后的行为遵守 #210；取消后后续候选调用 0 次。

非目标

不重新设计流式安全切换、不实现模型路由及 provider。

依赖与完成条件

父任务 #304；公共扩展契约/执行链复用 #298/#299，声明式装配复用 #300，引擎回调接线复用 #301。只依赖本单实际使用的最小阶段，不等待全部生命周期阶段。

提交需包含实际装配入口、配置示例、上述行为断言及旧配置保留/迁移说明；回调触发日志不足以验收，必须验证实际请求、结果或资源行为。离线夹具无需外部服务即可复现；真实服务保证单列证据。

实施约束

本节收窄此前范围，移出的职责由关联任务承担。建设任务，不是新 BUG；复用已有实现，独立 Agent/Workflow 不依赖 Graph/Loop，不强制新增模块。基线 Core 04c5686。破坏性变化须比较较小方案并说明收益、影响和迁移。核心可信身份、取消/预算、必经检查及提交保证不能被可选插件绕过。