feat: 完成T-503敏感信息提示与脱敏

- 保存或变更账号密码、AI API Key 前弹出本地明文保存提示

- 新增敏感值打码、结构化日志脱敏和自由文本替换工具

- 补充 GUI/appconfig 单测，覆盖明文提示和脱敏边界

- 同步任务看板、当前状态、架构、API、路由和编码规则文档

docs/05-coding-rules.md

@@ -76,7 +76,7 @@ python prototypes/demo.py            # 单账号闭环验证（不提交）
 ## 7. 绝不
 
 - 绝不把真实账号、密码、Cookie、token 写进代码、文档或日志。
-- 绝不把密码/API Key 写进代码、文档、日志或导出文件；本地配置/DB 可明文保存，必须 gitignore，UI 打码。
+- 绝不把密码/API Key 写进代码、文档、日志或导出文件；本地配置/DB 可明文保存，必须 gitignore，保存/变更时提示“本地明文保存”，UI 打码。
 - 绝不把 `config.json`、`config/ai_models.json`、`cmshopee.db`、`chrome_user_data_dir/`、`images/` 提交版本库。
 - 绝不提交运营填写后的 Excel 业务文件；根目录 `shopee待处理任务模板.xlsx` 是标准空模板，允许提交。
 - 绝不自动登录 / 自动填账号密码；登录由人工完成，程序只检测登录态。
@@ -87,6 +87,7 @@ python prototypes/demo.py            # 单账号闭环验证（不提交）
 ## 8. 安全与合规
 
 - 登录凭证只存在于各账号 user-data-dir；不导出、不外传、不写入配置或日志。
+- 写日志、状态 payload、导出调试信息前，结构化数据先过 `appconfig.sanitize_for_log()`；自由文本只有在掌握明文值时才用 `appconfig.redact_secrets()` 替换，不要把原始密码/API Key 拼进异常或状态栏。
 - 涉及 Shopee 时，遵守 `04-architecture.md` 写明的页面规则与限流边界；不高频批量、不绕风控/验证码。
 - 高风险动作（删满 9 张的封面、点击更新）必须有显式确认，并先在测试商品验证；删满 9 张封面前还必须有本地旧封面备份，缺失备份时拒绝删除。
 - V1 无常驻提交开关；③ 的批量确认弹窗是提交线上前的确认边界。dry-run 属 V2。