feat: audit ai config changes

progress.md

@@ -315,3 +315,28 @@
   - T-102 不自动导入真实 `D:\chengma\cmbot\config\ai_models.json`，避免真实上游 key 被误暴露；后续由管理员在确认环境密钥后手动执行导入命令。
   - 默认别名唯一性先由 model validation、admin 与导入器保证；MySQL partial unique 约束留待审计/后台完善阶段评估。
 - 下一步：领取 T-103 配置变更审计。
+
+## 2026-07-02 T-103 配置变更审计
+
+- 状态：DONE
+- 变更：
+  - 新增 `AiConfigAuditLog` 审计模型与 `apps/ai/migrations/0002_aiconfigauditlog.py`，字段包括 `actor`、`action`、`target_type`、`target_id`、`target_repr`、`changed_fields`、`changes`、`created_at`。
+  - 新增 `apps/ai/audit.py`：对 `AiModel` / `ModelAlias` 做变更快照与字段 diff，`api_key_encrypted` 对外记录为 `api_key`，只保留 `empty` / `set` 状态，不记录明文或 Fernet 密文。
+  - 更新 `apps/ai/admin.py`：`AiModelAdmin` / `ModelAliasAdmin` 的保存和删除 hook 自动写审计日志；新增 `AiConfigAuditLogAdmin`，仅允许只读查看，不允许新增、修改、删除审计日志。
+  - 扩展 `apps/ai/tests.py`：新增 5 条审计测试，覆盖 AiModel 创建、密钥更新、ModelAlias 映射变更、删除审计、审计 admin 只读。
+  - 同步更新 `README.md`、`docs/00-ai-start-here.md`、`docs/03-tech-stack.md`、`docs/04-architecture.md`、`docs/06-tasks.md`、`docs/api.md`、`docs/routes.md`、`docs/current-state.md`、汇报文档。
+- 验证：
+  - `./init.ps1`：通过，依赖同步与基础检查正常。
+  - `py -3.12 manage.py migrate`：通过，应用 `ai.0002_aiconfigauditlog`。
+  - `py -3.12 manage.py showmigrations ai`：通过，`0001_initial` / `0002_aiconfigauditlog` 均为 `[X]`。
+  - `py -3.12 manage.py test apps.ai.tests.AiConfigAuditAdminTests --noinput`：通过，5 tests OK。
+  - `py -3.12 manage.py test apps.ai --noinput`：通过，21 tests OK。
+  - `py -3.12 manage.py test --noinput --keepdb`：通过，23 tests OK。
+  - `py -3.12 manage.py check`：通过，0 issues。
+  - `py -3.12 manage.py makemigrations --check`：通过，No changes detected。
+  - `py -3.12 -m compileall apps`：通过。
+  - `git diff --check`：通过，仅有 CRLF 提示。
+  - 标准 `py -3.12 manage.py test --noinput` 多次在远程 MySQL `43.128.3.240:3306` 创建/销毁测试库或测试中途重连时超时；失败点为 MySQL 连接/建库，不是断言失败。为降低远程建库压力，使用 `--keepdb` 完整测试已通过。
+- 阻塞：无代码阻塞；远程 MySQL 偶发连接超时会影响标准测试建库稳定性。
+- 决策：T-103 使用自建 `AiConfigAuditLog` 专表，不只依赖 django-admin `LogEntry`；密钥审计只记录状态变化，不记录明文或密文。
+- 下一步：领取 T-104 跑通一次真实/录制的标题或图片生成。