fix(txn+security): 仓储改 flush + 启动校验/兜底 + job.error 脱敏 + SSE 异常硬化

P0-1 SqlCredentialStore/save_draft 由自提交改 flush，端点/服务统一 commit
  （新增 CredentialStore.commit() 统一提交点；token 刷新落库显式提交）；
  补多凭据一请求中途失败整体回滚集成测试。
P0-2 启动校验 _fernet(enc_key) 快速失败 + catch-all Exception → ErrorEnvelope；
  credential_enc_key 改 SecretStr。
P0-3 run_job 异常分类：AppError 存 code+message，其余存通用文案不泄 str(exc)。
P0-4 评审/正文 SSE 失败先发 error 事件，尾部 commit 包 try/except。
P1-4 max_version 加 FOR UPDATE 行锁消除 TOCTOU。
P1-5 scan_overdue 谓词下推 + 批量 UPDATE RETURNING。
P1-10 移除 OAuth user_code 日志。
P2 provider_deps 改调网关 build_adapter；accept_service Committable Protocol；
  CORS 白名单收窄；request_id 安全字符集白名单；stdlib 日志接管；读端点 404 校验；
  httpx timeout；测试用合法 Fernet key；类型化响应模型(JobResponse/DimensionEntry/
  ReviewConflictView/selling_points)+路由 ErrorEnvelope responses（供 codegen）。

apps/api/ww_api/services/project_deps.py

@@ -264,7 +264,9 @@ async def _build_provider_adapter(store: CredentialStore, provider: str) -> Prov
     if cred.auth_type == AUTH_TYPE_OAUTH or provider == KIMI_CODE_PROVIDER:
         # OAuth 凭据（Kimi Code）：解密 token 包 → 临近过期则刷新并持久化 → access token
         # 当 api_key 喂工厂（工厂为 kimi-code 构建带伪造头 + coding base 的客户端）。
-        access_token = await _resolve_kimi_code_token(store, cred, settings.credential_enc_key)
+        access_token = await _resolve_kimi_code_token(
+            store, cred, settings.credential_enc_key.get_secret_value()
+        )
         return build_adapter(
             provider, api_key=access_token, base_url=_PROVIDER_BASE_URLS.get(provider)
         )
@@ -273,7 +275,9 @@ async def _build_provider_adapter(store: CredentialStore, provider: str) -> Prov
         # api_key 凭据但密文缺失（数据不一致）——视作未配置，回退链跳过。
         return None
     try:
-        api_key = decrypt_api_key(cred.api_key_enc, key=settings.credential_enc_key)
+        api_key = decrypt_api_key(
+            cred.api_key_enc, key=settings.credential_enc_key.get_secret_value()
+        )
     except CredentialKeyError as exc:
         raise AppError(ErrorCode.INTERNAL, str(exc)) from exc
     # OpenAI 兼容 provider 需 base_url；Anthropic/Gemini 走原生 SDK（base_url=None）。
@@ -305,10 +309,12 @@ async def _resolve_kimi_code_token(
         return token.access_token
 
     # 临近过期 → 刷新并持久化新包。
-    async with httpx.AsyncClient() as http:
+    async with httpx.AsyncClient(timeout=30.0) as http:
         refreshed = await kimi_refresh(http, token.refresh_token)
     new_blob = encrypt_oauth_bundle(refreshed, key=enc_key)
     await store.upsert_oauth_credential(STUB_OWNER_ID, KIMI_CODE_PROVIDER, new_blob)
+    # token 刷新是独立可持久的副作用（下次建网关复用），须立即提交，不依赖请求后续是否提交。
+    await store.commit()
     return refreshed.access_token