让用户自己设"最多花多少"
成本控制通常只做在后台 ✗（配额、限流 ✔）—— 用户完全不知道 ✔，
于是要么"不敢用" ✔，要么"一不小心花超" ✔。
把成本上限做成产品能力 ✔：让用户自己设预算 ✔，系统按预算自动收敛 ✔。
一、三种用户可设的上限
① 单次上限（这次最多花 X，超了停下并询问）
② 周期预算（本月最多 Y，用掉 80% 提醒）
③ 单条上限（每次调用最长输出 / 最多检索几条）
要点：默认值要保守 ✔（见安全默认那篇 ✔），但可见、可调 ✔。
二、"到上限"时的三种行为（用户可选）
| 行为 | 说明 | 适合 |
|---|---|---|
| 停下并询问 | 到点暂停，用户决定是否继续 ✔ | 默认（最安全 ✔） |
| 自动降级 | 换更省的模型/更短的输出继续 ✔ | 追求完成度 ✔ |
| 硬停止 | 直接结束并给结果 ✔ | 明确不要超支 ✔ |
静默继续扣费是最坏的 ✗（见价格澄清那篇 ✔）。
三、界面上要"实时可见"
- 本次已花（实时累计 ✔）；
- 距离上限还有多少 ✔；
- 按当前进度预计总额 ✔（早发现早调整 ✔）。
要点：预估要标注是预估 ✔（避免被当成账单 ✔）。
四、和后台配额的关系
后台配额（平台级，硬约束） ← 运营设置（见多租户限流）
用户预算（用户级，可调） ← 用户自己设
单次上限（请求级，最细） ← 默认安全值
三层从粗到细 ✔；用户预算不能超过后台配额 ✔（超出时提示且不允许 ✔）。
五、两个反模式
- 只有后台配额，用户看不见 ✗（不知道还剩多少 ✔）；
- 预估给一个确定数字 ✗（生成类任务波动大，应给区间 ✔）。
六、一条判据
用户能否在提交前说出"这次大概花多少" ✔，并在过程中看到"离上限还有多远" ✔？
不能，说明成本上限还只是后台参数 ✗。