fix(txn+security): 仓储改 flush + 启动校验/兜底 + job.error 脱敏 + SSE 异常硬化

P0-1 SqlCredentialStore/save_draft 由自提交改 flush，端点/服务统一 commit
  （新增 CredentialStore.commit() 统一提交点；token 刷新落库显式提交）；
  补多凭据一请求中途失败整体回滚集成测试。
P0-2 启动校验 _fernet(enc_key) 快速失败 + catch-all Exception → ErrorEnvelope；
  credential_enc_key 改 SecretStr。
P0-3 run_job 异常分类：AppError 存 code+message，其余存通用文案不泄 str(exc)。
P0-4 评审/正文 SSE 失败先发 error 事件，尾部 commit 包 try/except。
P1-4 max_version 加 FOR UPDATE 行锁消除 TOCTOU。
P1-5 scan_overdue 谓词下推 + 批量 UPDATE RETURNING。
P1-10 移除 OAuth user_code 日志。
P2 provider_deps 改调网关 build_adapter；accept_service Committable Protocol；
  CORS 白名单收窄；request_id 安全字符集白名单；stdlib 日志接管；读端点 404 校验；
  httpx timeout；测试用合法 Fernet key；类型化响应模型(JobResponse/DimensionEntry/
  ReviewConflictView/selling_points)+路由 ErrorEnvelope responses（供 codegen）。

apps/api/ww_api/routers/kimi_oauth.py

@@ -83,7 +83,7 @@ def _make_poll_work(device: DeviceAuth) -> Any:
     """
 
     async def work(session: AsyncSession) -> dict[str, Any]:
-        enc_key = get_settings().credential_enc_key
+        enc_key = get_settings().credential_enc_key.get_secret_value()
         store = SqlCredentialStore(session)
         interval = max(1, device.interval)
 
@@ -147,11 +147,11 @@ async def start_oauth(
         request_id=request_id,
     )
 
+    # 不记 user_code：授权窗口内日志可见者可冒用授权意图（P1-10）。仅留 request_id/job_id 关联。
     log.info(
         "kimi_oauth_started",
         request_id=request_id,
         job_id=str(job.id),
-        user_code=device.user_code,
     )
     response.status_code = 202
     return OAuthStartResponse(
@@ -168,10 +168,13 @@ async def start_oauth(
 async def disconnect_oauth(
     request: Request,
     store: CredentialStoreDep,
+    session: SessionDep,
 ) -> OAuthDisconnectResponse:
     """断开 Kimi Code：删除 OAuth 凭据行（token 一并消失）。"""
     request_id = getattr(request.state, "request_id", None)
     deleted = await store.delete_credential(STUB_OWNER_ID, KIMI_CODE_PROVIDER)
+    # store.delete_credential 只 flush，端点统一提交。
+    await session.commit()
     log.info("kimi_oauth_disconnected", request_id=request_id, deleted=deleted)
     return OAuthDisconnectResponse(disconnected=deleted)
 
@@ -179,7 +182,7 @@ async def disconnect_oauth(
 @router.get("/status")
 async def oauth_status(store: CredentialStoreDep) -> OAuthStatusResponse:
     """连接状态：是否已连接 + access token 过期时刻（**无 token 本体**）。"""
-    enc_key = get_settings().credential_enc_key
+    enc_key = get_settings().credential_enc_key.get_secret_value()
     cred = await store.get_credential(STUB_OWNER_ID, KIMI_CODE_PROVIDER)
     if cred is None or cred.auth_type != AUTH_TYPE_OAUTH or cred.oauth_enc is None:
         return OAuthStatusResponse(connected=False)