fix(txn+security): 仓储改 flush + 启动校验/兜底 + job.error 脱敏 + SSE 异常硬化

P0-1 SqlCredentialStore/save_draft 由自提交改 flush，端点/服务统一 commit
  （新增 CredentialStore.commit() 统一提交点；token 刷新落库显式提交）；
  补多凭据一请求中途失败整体回滚集成测试。
P0-2 启动校验 _fernet(enc_key) 快速失败 + catch-all Exception → ErrorEnvelope；
  credential_enc_key 改 SecretStr。
P0-3 run_job 异常分类：AppError 存 code+message，其余存通用文案不泄 str(exc)。
P0-4 评审/正文 SSE 失败先发 error 事件，尾部 commit 包 try/except。
P1-4 max_version 加 FOR UPDATE 行锁消除 TOCTOU。
P1-5 scan_overdue 谓词下推 + 批量 UPDATE RETURNING。
P1-10 移除 OAuth user_code 日志。
P2 provider_deps 改调网关 build_adapter；accept_service Committable Protocol；
  CORS 白名单收窄；request_id 安全字符集白名单；stdlib 日志接管；读端点 404 校验；
  httpx timeout；测试用合法 Fernet key；类型化响应模型(JobResponse/DimensionEntry/
  ReviewConflictView/selling_points)+路由 ErrorEnvelope responses（供 codegen）。

apps/api/tests/test_job_runner.py

@@ -134,7 +134,7 @@ async def test_run_job_failure_sets_failed_and_does_not_raise() -> None:
     repo = _FakeJobRepo()
 
     async def work(_session: AsyncSession) -> dict[str, Any]:
-        raise RuntimeError("extraction blew up")
+        raise RuntimeError("extraction blew up: secret=/internal/path")
 
     # 异常被吞（后台任务边界），不冒泡
     await run_job(
@@ -147,7 +147,25 @@ async def test_run_job_failure_sets_failed_and_does_not_raise() -> None:
     assert "complete" not in repo.calls
     assert "fail" in repo.calls
     assert repo.status == STATUS_FAILED
-    assert repo.error == "extraction blew up"
+    # P0-3：非 AppError 一律落通用文案，**绝不**回传 str(exc)（防泄露内部细节）。
+    assert repo.error == "任务执行失败"
+    assert "secret" not in (repo.error or "")
     # 失败置态在一个**全新** session 里完成并 commit（原事务作废）
     assert len(factory.sessions) == 2
     assert factory.sessions[1].commits == 1
+
+
+async def test_run_job_apperror_stores_code_and_safe_message() -> None:
+    """P0-3：AppError 的 message 是面向用户的安全文案，连同 code 一起落库。"""
+    from ww_shared import AppError, ErrorCode
+
+    factory = _FakeSessionFactory()
+    repo = _FakeJobRepo()
+
+    async def work(_session: AsyncSession) -> dict[str, Any]:
+        raise AppError(ErrorCode.LLM_UNAVAILABLE, "Kimi 设备授权轮询超时")
+
+    await run_job(factory, JOB_ID, work, repo_factory=lambda _s: repo)
+
+    assert repo.status == STATUS_FAILED
+    assert repo.error == "LLM_UNAVAILABLE: Kimi 设备授权轮询超时"