feat: add ai model alias configuration

progress.md

@@ -289,3 +289,29 @@
 - 阻塞：无。
 - 决策：T-101 不创建 AiModel/ModelAlias 数据表、不做别名解析数据库读取、不接计费；先用 `ResolvedModel` dataclass 承接后续 T-102 的数据库模型。
 - 下一步：领取 T-102 AiModel + ModelAlias 模型 + 别名解析。
+
+## 2026-07-02 T-102 AiModel + ModelAlias 模型 + 别名解析
+
+- 状态：DONE
+- 变更：
+  - 新增 `AiModel` / `ModelAlias` 数据模型与 `apps/ai/migrations/0001_initial.py`：`AiModel` 保存上游 url/model/api_type/capabilities/timeout/extra_body/is_active 与 Fernet 密文 `api_key_encrypted`；`ModelAlias` 用 `operation_type + alias` 映射到具体模型，支持默认别名与启停。
+  - 新增 `apps/ai/security.py`：`AI_KEY_ENCRYPTION_KEY` 驱动 Fernet 加解密，密文带 `fernet:` 前缀；拒绝明文 fallback。
+  - 新增 `apps/ai/aliases.py`：`resolve_alias(operation_type, alias=None)` 每次查当前 active 配置，标题要求 `text` 能力，图片要求 `image` 能力，返回 provider 可用的 `ResolvedModel`。
+  - 新增 `apps/ai/importers.py` 与 `import_ai_models` 管理命令：支持导入 `cmbot` 形状的 `ai_models.json`，导入时加密 key、推断 capabilities，可选创建 `title-standard` / `image-standard` 默认别名。
+  - 完善 `apps/ai/admin.py`：admin 提供写入型 `api_key` 字段，密钥脱敏显示且不回显；缺少 Fernet 主密钥时以表单错误提示；`api_key_encrypted` 不暴露。
+  - 扩展 `apps/ai/tests.py`：覆盖密钥加密/解密、别名解析、能力不匹配、inactive alias、配置导入、admin 脱敏与缺主密钥错误；同步更新 README、入口文档、技术栈、架构、API、环境配置、任务看板和当前状态。
+- 验证：
+  - `py -3.12 manage.py migrate`：通过，`ai.0001_initial` 已应用；`py -3.12 manage.py showmigrations ai` 显示 `[X] 0001_initial`。
+  - `py -3.12 manage.py test apps.ai --noinput`：通过，16 tests OK。
+  - `py -3.12 manage.py test --noinput`：通过，18 tests OK。
+  - `py -3.12 manage.py check`：通过，0 issues。
+  - `py -3.12 manage.py makemigrations --check`：通过，No changes detected。
+  - `py -3.12 -m compileall apps` / `py -3.12 -m compileall apps\ai`：通过。
+  - `./init.ps1`：通过，依赖同步与基础检查正常。
+  - 验证期间远程 MySQL `43.128.3.240:3306` 多次短暂超时，`Test-NetConnection 43.128.3.240 -Port 3306` 恢复后重试通过；失败点均为建库/事务前连接超时，不是断言失败。
+- 阻塞：无。
+- 决策：
+  - 供应商密钥存储采用 `cryptography` Fernet 应用层加密，主密钥只走 `AI_KEY_ENCRYPTION_KEY`；不实现明文兼容。
+  - T-102 不自动导入真实 `D:\chengma\cmbot\config\ai_models.json`，避免真实上游 key 被误暴露；后续由管理员在确认环境密钥后手动执行导入命令。
+  - 默认别名唯一性先由 model validation、admin 与导入器保证；MySQL partial unique 约束留待审计/后台完善阶段评估。
+- 下一步：领取 T-103 配置变更审计。