feat: 完成T-503敏感信息提示与脱敏

- 保存或变更账号密码、AI API Key 前弹出本地明文保存提示

- 新增敏感值打码、结构化日志脱敏和自由文本替换工具

- 补充 GUI/appconfig 单测，覆盖明文提示和脱敏边界

- 同步任务看板、当前状态、架构、API、路由和编码规则文档

docs/02-requirements.md

@@ -91,7 +91,7 @@
 | 执行方式 | 多账号串行、逐任务执行，单条失败继续 |
 | 旧标题/旧封面 | 程序在「采集」阶段改前抓取的快照（输出列），运营不填 |
 | 新标题/新封面 | AI 生成（输出列），直接用于 ③；不设逐条确认阶段，本地留档+回写 Excel 供追溯 |
-| AI 服务 | 文本+图像生成，服务商/模型待定；Key 本地明文存于 `config/ai_models.json`，UI 打码、不入日志；见 [技术栈](03-tech-stack.md) |
+| AI 服务 | 文本+图像生成，服务商/模型待定；Key 本地明文存于 `config/ai_models.json`，首次保存/变更时提示，UI 打码、不入日志；见 [技术栈](03-tech-stack.md) |
 | 本地图片 | 旧封面下载、新封面生成存本地图片目录，路径记 DB |
 | 结果落库时机 | 各阶段处理完立即写 SQLite；该 Excel 全部完成后批量回写原文件 |
 | 原文件被占用 | 回写时若原 Excel 被锁定，提示关闭重试或另存副本（SQLite 为事实来源） |
@@ -100,11 +100,11 @@
 ## 七、待确认 / 风险点
 
 - **账号 / 凭证风险**：登录态存在各账号 user-data-dir，等同账号凭证；目录不得提交版本库、不得外传。
-- **本地敏感文件风险**：Tab④ 的密码本地明文存于 SQLite，仅供人工参考，**绝不自动登录/自动填**；AI Key 本地明文存于 `config/ai_models.json`；`config.json`、`config/ai_models.json`、`cmshopee.db`、`chrome_user_data_dir/`、`images/` 必须 gitignore；UI 打码、日志脱敏（见 [任务 T-503](06-tasks.md)）。
+- **本地敏感文件风险**：Tab④ 的密码本地明文存于 SQLite，仅供人工参考，**绝不自动登录/自动填**；AI Key 本地明文存于 `config/ai_models.json`；首次保存/变更密码或 API Key 时必须提示“本地明文保存”；`config.json`、`config/ai_models.json`、`cmshopee.db`、`chrome_user_data_dir/`、`images/` 必须 gitignore；UI 打码、日志/导出脱敏（见 [任务 T-503](06-tasks.md)）。
 - **别名匹配风险**：别名以 Excel 列为准；不匹配的行略过并最后弹窗，执行起始在日志逐条打印「文件→匹配账号」留痕，防误改。
 - **AI 主图风险（高，已知并接受）**：本设计不设逐条人工审核和常驻提交开关；AI 生成的标题/封面经 ③ 批量确认后会提交线上。主图若失真/夸大/侵权可能违反 Shopee 规则甚至下架。缓解：开始更新前弹窗确认筛选范围和任务数量，新图本地留档 + 回写 Excel 供事后追溯；强烈建议先在测试商品验证再批量。
 - **AI 成本与依赖**：接入文本+图像 AI = 新外部依赖 + API 费用 + Key 管理；服务商/模型/合规待 [技术栈](03-tech-stack.md) 确认。
-- **AI Key 安全**：Key 本地明文存于 `config/ai_models.json`，UI 打码，不写日志，不提交版本库。
+- **AI Key 安全**：Key 本地明文存于 `config/ai_models.json`，保存/变更时提示，UI 打码，不写日志，不提交版本库。
 - **第三方平台风险**：Shopee 页面结构、class 名、接口随时可能变；限流、风控、封号风险存在，禁止高频批量。
 - **自动化边界风险**：③ 确认后会自动改标题、上传图片、拖拽并点「更新」提交线上；点「开始更新」并确认前需自行确保筛选范围、任务来源与 AI 产出可接受。
 - **合规风险**：仅在自有/授权账号上操作；遵守 Shopee 卖家条款；不绕过任何平台限制。