fix(txn+security): 仓储改 flush + 启动校验/兜底 + job.error 脱敏 + SSE 异常硬化

P0-1 SqlCredentialStore/save_draft 由自提交改 flush，端点/服务统一 commit
  （新增 CredentialStore.commit() 统一提交点；token 刷新落库显式提交）；
  补多凭据一请求中途失败整体回滚集成测试。
P0-2 启动校验 _fernet(enc_key) 快速失败 + catch-all Exception → ErrorEnvelope；
  credential_enc_key 改 SecretStr。
P0-3 run_job 异常分类：AppError 存 code+message，其余存通用文案不泄 str(exc)。
P0-4 评审/正文 SSE 失败先发 error 事件，尾部 commit 包 try/except。
P1-4 max_version 加 FOR UPDATE 行锁消除 TOCTOU。
P1-5 scan_overdue 谓词下推 + 批量 UPDATE RETURNING。
P1-10 移除 OAuth user_code 日志。
P2 provider_deps 改调网关 build_adapter；accept_service Committable Protocol；
  CORS 白名单收窄；request_id 安全字符集白名单；stdlib 日志接管；读端点 404 校验；
  httpx timeout；测试用合法 Fernet key；类型化响应模型(JobResponse/DimensionEntry/
  ReviewConflictView/selling_points)+路由 ErrorEnvelope responses（供 codegen）。

apps/api/ww_api/routers/generation.py

@@ -336,11 +336,15 @@ async def ingest_characters(
 async def list_characters(
     project_id: uuid.UUID,
     memory: MemoryReposDep,
+    project_repo: ProjectRepoDep,
 ) -> CharacterListResponse:
     """已入库角色全量列表（设定库 Codex 真源；复用 C5 读侧 SqlCharacterRepo）。
 
+    项目不存在 → 404（与写端点一致，避免不存在 project 返回误导性空 200）。
     DB JSONB dict 列 → API list/str 反向解包（入库形变的逆向，见 `_existing_characters`）。
     """
+    if await project_repo.get(STUB_OWNER_ID, project_id) is None:
+        raise AppError(ErrorCode.NOT_FOUND, f"project {project_id} not found")
     cards = await _existing_characters(memory, project_id)
     return CharacterListResponse(characters=[_card_to_view(c) for c in cards])
 
@@ -349,11 +353,15 @@ async def list_characters(
 async def list_world_entities(
     project_id: uuid.UUID,
     memory: MemoryReposDep,
+    project_repo: ProjectRepoDep,
 ) -> WorldEntityListResponse:
     """已入库世界观实体全量列表（设定库 Codex 真源；复用 C5 读侧 SqlWorldEntityRepo）。
 
+    项目不存在 → 404（与写端点一致）。
     DB `rules` JSONB dict `{"rules":[...]}` → 裸 list（worldbuilder 形变的逆向）。
     """
+    if await project_repo.get(STUB_OWNER_ID, project_id) is None:
+        raise AppError(ErrorCode.NOT_FOUND, f"project {project_id} not found")
     views = await memory.world_entity.list_for_project(project_id)
     entities = [
         WorldEntityCardView(