feat: 完成T-503敏感信息提示与脱敏

- 保存或变更账号密码、AI API Key 前弹出本地明文保存提示

- 新增敏感值打码、结构化日志脱敏和自由文本替换工具

- 补充 GUI/appconfig 单测，覆盖明文提示和脱敏边界

- 同步任务看板、当前状态、架构、API、路由和编码规则文档

docs/api.md

@@ -34,6 +34,14 @@ response_timeout(config=None) -> int           # = resolution_timeouts[resolutio
 
 `default_config()` / `load_config()` 包含 `shopee_update` 安全配置段：测试商品 ID、是否允许真实提交、是否允许封面更新、单次最大更新条数、成功后是否关闭本轮新开编辑页。`config.json` 不保存 AI Key；写入 `api_key` / `*_key` / `token` / `*_token` / `password` / `*_password` 等敏感字段时抛 `ConfigError`。AI Key 留给 `config/ai_models.json`。
 
+敏感信息展示/日志辅助：
+
+```python
+mask_secret(secret) -> str                   # 展示用打码
+sanitize_for_log(value) -> object            # 递归打码 api_key/password/token/*_key/*_token/*_password 字段
+redact_secrets(text, secret_values=None) -> str  # 用已知明文值替换自由文本中的秘密
+```
+
 AI 模型清单（`config/ai_models.json`，含本地明文密钥，已建；UI 由 ⑤ 设置复用）：
 
 ```python
@@ -48,7 +56,7 @@ test_ai_model(name) -> dict                   # 「测试连接」：用 key/url
 get_model(name) -> dict                        # 返回模型定义，含 api_key（调用方不得写日志）
 ```
 
-`list_ai_models()` 用于 UI/API 展示，默认不返回明文 `api_key`；`get_model()` 用于实际调用 AI，返回明文 `api_key`，调用方不得写日志或导出。`test_ai_model()` 不记录密钥；缺少 `url/model/api_key` 时直接返回 `{ok: False, error: ...}`。
+`list_ai_models()` 用于 UI/API 展示，默认不返回明文 `api_key`；`get_model()` 用于实际调用 AI，返回明文 `api_key`，调用方不得写日志或导出。`test_ai_model()` 不记录密钥，返回给 GUI 前仍由 worker 过 `sanitize_for_log()`；缺少 `url/model/api_key` 时直接返回 `{ok: False, error: ...}`。
 
 ## db 模块（`app/db.py`，已建）
 
@@ -324,7 +332,7 @@ TAB_STYLE: str                              # 顶层 Tab 栏防误点样式：
 ④ 账号管理要点：
 
 - 表格列：账号名、别名、地区、端口、登录状态、备注；不展示密码。
-- 弹窗字段：账号名、别名、地区、调试端口、密码、备注、slug、数据目录；密码框使用打码显示。
+- 弹窗字段：账号名、别名、地区、调试端口、密码、备注、slug、数据目录；密码框使用打码显示；首次保存/变更非空密码前弹窗提示“本地明文保存”。
 - 「启动登录」只启动 Chrome，人工登录；「检测登录」用 worker 跑 `accounts.detect_login()` 并刷新状态列；「快捷方式」调用 `accounts.create_shortcut()` 生成默认桌面 `.lnk`。
 
 ⑤ 设置当前要点（T-501）：
@@ -332,7 +340,7 @@ TAB_STYLE: str                              # 顶层 Tab 栏防误点样式：
 - `SettingsTab` 左侧为 AI 模型下拉与新增/删除按钮，右侧为模型详情表单。
 - 详情字段：启用、服务商名、类别（text/image）、api_type、模型 ID、网址、密钥、连接超时。
 - 模型数据读写复用 `appconfig.list_ai_models(..., reveal_api_key=True)`、`add_ai_model()`、`update_ai_model()`、`delete_ai_model()`；保存时保留现有 `extra_body` 与 `timeout_seconds`。
-- 密钥字段使用 `QLineEdit.Password` 打码显示；明文只写入已 gitignore 的 `config/ai_models.json`，不得进入日志/导出。
+- 密钥字段使用 `QLineEdit.Password` 打码显示；首次保存/变更非空 Key 前弹窗提示“本地明文保存”；明文只写入已 gitignore 的 `config/ai_models.json`，不得进入日志/导出。
 - 删除按钮在当前类别只剩 1 个模型时禁用；后端仍以“至少启用一个 text 和 image 模型”为硬约束。
 - 「测试连接」创建 `AIModelTestWorker` 后台调用 `appconfig.test_ai_model()`，GUI 主线程不直接发网络请求。
 - 角色与生成参数读写 `config.json`：标题大模型（仅 text）、图片大模型（仅 image）、标题/图片并发、失败重试、分辨率、jpg 质量。