fix(txn+security): 仓储改 flush + 启动校验/兜底 + job.error 脱敏 + SSE 异常硬化

P0-1 SqlCredentialStore/save_draft 由自提交改 flush，端点/服务统一 commit
  （新增 CredentialStore.commit() 统一提交点；token 刷新落库显式提交）；
  补多凭据一请求中途失败整体回滚集成测试。
P0-2 启动校验 _fernet(enc_key) 快速失败 + catch-all Exception → ErrorEnvelope；
  credential_enc_key 改 SecretStr。
P0-3 run_job 异常分类：AppError 存 code+message，其余存通用文案不泄 str(exc)。
P0-4 评审/正文 SSE 失败先发 error 事件，尾部 commit 包 try/except。
P1-4 max_version 加 FOR UPDATE 行锁消除 TOCTOU。
P1-5 scan_overdue 谓词下推 + 批量 UPDATE RETURNING。
P1-10 移除 OAuth user_code 日志。
P2 provider_deps 改调网关 build_adapter；accept_service Committable Protocol；
  CORS 白名单收窄；request_id 安全字符集白名单；stdlib 日志接管；读端点 404 校验；
  httpx timeout；测试用合法 Fernet key；类型化响应模型(JobResponse/DimensionEntry/
  ReviewConflictView/selling_points)+路由 ErrorEnvelope responses（供 codegen）。

apps/api/tests/test_outline.py

@@ -14,6 +14,7 @@ import uuid
 
 import httpx
 import pytest
+from cryptography.fernet import Fernet
 from fakes_projects import (
     FakeForeshadowRepo,
     FakeOutlineReadRepo,
@@ -51,7 +52,7 @@ def _make_client(
     gateway: FakeReviewGateway | None = None,
     session: FakeSession | None = None,
 ) -> tuple[httpx.AsyncClient, FakeOutlineWriteRepo, FakeSession]:
-    os.environ.setdefault("CREDENTIAL_ENC_KEY", "x" * 44)
+    os.environ.setdefault("CREDENTIAL_ENC_KEY", Fernet.generate_key().decode())
     from ww_api.main import create_app
     from ww_api.services.project_deps import (
         get_foreshadow_repo,
@@ -142,7 +143,7 @@ async def test_generate_outline_without_credentials_maps_to_llm_unavailable() ->
     project_repo = FakeProjectRepo()
     pid = await _seed_project(project_repo)
     session = FakeSession()
-    os.environ.setdefault("CREDENTIAL_ENC_KEY", "x" * 44)
+    os.environ.setdefault("CREDENTIAL_ENC_KEY", Fernet.generate_key().decode())
     from ww_api.main import create_app
     from ww_api.services.project_deps import (
         get_foreshadow_repo,
@@ -196,7 +197,7 @@ def _make_read_client(
     outline_read_repo: FakeOutlineReadRepo,
 ) -> httpx.AsyncClient:
     """装配 GET /outline 测试客户端（注入 fake 项目 repo + 读侧 outline repo）。"""
-    os.environ.setdefault("CREDENTIAL_ENC_KEY", "x" * 44)
+    os.environ.setdefault("CREDENTIAL_ENC_KEY", Fernet.generate_key().decode())
     from ww_api.main import create_app
     from ww_api.services.project_deps import get_outline_read_repo, get_project_repo
 
@@ -271,16 +272,19 @@ async def test_get_outline_unknown_project_404() -> None:
 @pytest.mark.asyncio
 async def test_foreshadow_board_filters_by_status() -> None:
     repo = FakeForeshadowRepo()
-    pid = uuid.uuid4()
+    project_repo = FakeProjectRepo()
+    pid = await _seed_project(project_repo)
     await repo.register(pid, code="F1", title="开放伏笔")
     await repo.register(pid, code="F2", title="部分回收")
     await repo.transition(pid, "F2", to_status="PARTIAL")
     from ww_api.main import create_app
-    from ww_api.services.project_deps import get_foreshadow_repo
+    from ww_api.services.project_deps import get_foreshadow_repo, get_project_repo
 
-    os.environ.setdefault("CREDENTIAL_ENC_KEY", "x" * 44)
+    os.environ.setdefault("CREDENTIAL_ENC_KEY", Fernet.generate_key().decode())
     app = create_app()
     app.dependency_overrides[get_foreshadow_repo] = lambda: repo
+    # 读端点现做 project 存在性 404 校验（P2）——注入有该 project 的 FakeProjectRepo。
+    app.dependency_overrides[get_project_repo] = lambda: project_repo
     transport = httpx.ASGITransport(app=app, raise_app_exceptions=False)
     async with httpx.AsyncClient(transport=transport, base_url="http://test") as client:
         all_resp = await client.get(f"/projects/{pid}/foreshadow")