feat: complete llm sourcegen plan

docs/plans/CASAN_PLAN_03_CLOUD_PATCH.md

@@ -48,10 +48,11 @@ Expected evidence:
 | P4 | Add model allowlist policy for approved cloud models | Unknown cloud model names require approval or block |
 | P5 | Decide default failover order for local -> cloud or cloud -> local | `model-fallback.sh` policy is explicit per role |
 
-## Điều kiện gỡ blocker API key (để P02 đợt B–D không treo vô thời hạn)
+## Điều kiện gỡ blocker API key (để live provider smoke không treo vô thời hạn)
 
-Live smoke (P1 ở trên) và Plan-02 đợt B–D **đều chờ cùng một điều kiện**: có API
-key provider thật. Ghi rõ để bất kỳ AI/người kế tiếp gỡ được:
+Live smoke (P1 ở trên) cần API key provider thật. Plan-02 A–D đã có đường
+offline/local qua `model-router`; phần còn lại ở đây chỉ là claim **live cloud
+provider thật**. Ghi rõ để bất kỳ AI/người kế tiếp gỡ được:
 
 | Hạng mục | Quyết định cần chốt |
 |---|---|
@@ -61,7 +62,7 @@ key provider thật. Ghi rõ để bất kỳ AI/người kế tiếp gỡ đư
 | **Evidence phải lưu** | 1 file smoke ghi: exit `0`, token thật > 0 trong `/tmp/out.json`, 1 dòng `provider-usage.jsonl` với source `*_api_real_tokens`, và xác nhận không rò secret. |
 | **Khi CHƯA có key** | Giữ nguyên trạng thái: deterministic offline test là bằng chứng hợp lệ; **không** claim live provider. Không tạo fake PASS/fake token. |
 
-> **Chốt:** P02 đợt B–D có thể phát triển & test offline bằng deterministic mock;
+> **Chốt:** P02 A–D có thể phát triển & test offline bằng deterministic mock/local;
 > chỉ **bước xác nhận live** mới cần key. Vì vậy thiếu key **không chặn** việc
 > mở rộng source-gen — chỉ chặn claim "đã chạy live provider thật".