feat: enforce durable queue resource limits and backpressure

docs/sdk/README.md

@@ -179,4 +179,4 @@ task=<任务ID> state=SUCCEEDED attempts=1 evidence=1 reason=RESULT_CONFLICT dis
 
 ## 7. 后续交付
 
-P2 已提供底层协议、[自动 Worker 运行器及示例](worker-runtime.md) 与历史查询，并通过 [Schema 及进程故障阶段验收](../reports/phase-2.md)；P3 已实现 [安全重试](../api/retries.md)、[计划调度](../api/schedules.md) 和 [运行中取消及示例](../api/cancellation.md)，资源配额和结果订阅继续开发；P4–P5 提供流程构建发布、信号、等待、轮询与人工恢复。每项随实现同步交付可运行示例及异常回归。
+P2 已提供底层协议、[自动 Worker 运行器及示例](worker-runtime.md) 与历史查询，并通过 [Schema 及进程故障阶段验收](../reports/phase-2.md)；P3 已实现 [安全重试](../api/retries.md)、[计划调度](../api/schedules.md)、[运行中取消](../api/cancellation.md) 和 [队列资源控制及示例](../api/queues.md)，应用级配额、业务键许可、优先级/公平性和结果订阅继续开发；P4–P5 提供流程构建发布、信号、等待、轮询与人工恢复。每项随实现同步交付可运行示例及异常回归。

docs/sdk/worker-runtime.md

@@ -81,6 +81,8 @@ SDK 的 Run 每个实例只能调用一次，包括已经正常退出的实例
 
 Run 的重连恢复同一次控制操作。平台的 [安全重试](../api/retries.md) 使用同一 Task.ID 派发新的 AttemptID/Epoch，运行器按新的有效授权调用处理器，预算与退避由服务端持久化管理。
 
+Start 返回 EXECUTION_PAUSED 或 RATE_LIMITED 时，运行器保留原 start 消息身份退避核对，不调用处理器；有限授权到期后按服务端恢复规则处理。新领取已受 [共享队列额度](../api/queues.md) 约束，正常等待限流不消耗新的尝试预算。配置降额不意味着已在执行的 goroutine 已停止。
+
 ## 5. 结果与错误分类
 
 | 处理器结果 | SDK 报告 / 服务端行为 |

docs/sdk/worker.md

@@ -117,6 +117,7 @@ Result 是不超过 256 KiB 的非 null JSON，可传对象引用；原始异常
 ## 6. 错误与有界行为
 
 - 握手 HTTP 拒绝返回 `*HTTPError`；业务控制拒绝返回 `*WorkerError`，通过 Code 分支处理。Error() 只显示分类，避免未知错误正文进入日志。
+- Start 的 RATE_LIMITED 表示当前窗口不允许开始；保留原消息身份在剩余租约内退避，不能调用业务处理器。队列控制、降额与窗口定义见 [队列接口](../api/queues.md)。
 - 传输中断返回 `ErrWorkerDisconnected`；消息格式/版本不兼容返回 `ErrWorkerProtocol`；主动关闭为 `ErrWorkerClosed`；超时/取消支持标准 context 错误。
 - 最多 32 个在途控制请求，达到上限返回 `ErrWorkerBusy`，请求未发送。同一消息 ID 已在途时也拒绝第二个并发等待者。
 - 派发缓冲最多 8 条；读取不及时会以 `ErrWorkerBackpressure` 关闭连接。持久化预占由服务端恢复，不无限积压内存。