feat: 完成T-503敏感信息提示与脱敏

- 保存或变更账号密码、AI API Key 前弹出本地明文保存提示

- 新增敏感值打码、结构化日志脱敏和自由文本替换工具

- 补充 GUI/appconfig 单测，覆盖明文提示和脱敏边界

- 同步任务看板、当前状态、架构、API、路由和编码规则文档

app/appconfig.py

@@ -116,9 +116,7 @@ def _assert_no_secrets(config):
         if isinstance(value, dict):
             for key, child in value.items():
                 lowered = str(key).lower()
-                if lowered in SECRET_FIELD_NAMES or lowered.endswith(
+                if _is_secret_field_name(lowered):
-                    ("_key", "_token", "_password")
-                ):
                     raise ConfigError(
                         f"config.json 不允许保存敏感字段: {'.'.join(path + [str(key)])}"
                     )
@@ -130,6 +128,57 @@ def _assert_no_secrets(config):
     visit(config, [])
 
 
+def _is_secret_field_name(name) -> bool:
+    lowered = str(name).lower()
+    return lowered in SECRET_FIELD_NAMES or lowered.endswith(
+        ("_key", "_token", "_password")
+    )
+
+
+def mask_secret(secret) -> str:
+    """Return a display-safe representation of a secret value."""
+
+    if secret is None:
+        return ""
+    if isinstance(secret, (dict, list, tuple, set)):
+        return "***" if secret else ""
+    text = str(secret or "")
+    if not text:
+        return ""
+    if len(text) <= 8:
+        return "***"
+    return f"{text[:4]}***{text[-4:]}"
+
+
+def sanitize_for_log(value):
+    """Return a copy of value with secret fields masked for logs/status/export."""
+
+    if isinstance(value, dict):
+        sanitized = {}
+        for key, child in value.items():
+            if _is_secret_field_name(key):
+                sanitized[key] = mask_secret(child)
+            else:
+                sanitized[key] = sanitize_for_log(child)
+        return sanitized
+    if isinstance(value, list):
+        return [sanitize_for_log(item) for item in value]
+    if isinstance(value, tuple):
+        return tuple(sanitize_for_log(item) for item in value)
+    return value
+
+
+def redact_secrets(text, secret_values=None) -> str:
+    """Replace known secret values inside free-form text."""
+
+    redacted = str(text)
+    for secret in secret_values or []:
+        secret_text = str(secret or "")
+        if secret_text:
+            redacted = redacted.replace(secret_text, "***")
+    return redacted
+
+
 def save_config(config, path=CONFIG_PATH) -> dict:
     """Persist config to JSON and return the normalized config."""
 
@@ -281,11 +330,7 @@ def _model_index(models, name):
 
 
 def _mask_api_key(api_key):
-    if not api_key:
+    return mask_secret(api_key)
-        return ""
-    if len(api_key) <= 8:
-        return "***"
-    return f"{api_key[:4]}***{api_key[-4:]}"
 
 
 def _public_model(model):
@@ -393,6 +438,7 @@ def _test_request_payload(model):
 def test_ai_model(name, path=AI_MODELS_PATH) -> dict:
     """Send a minimal request to the configured model endpoint."""
 
+    model = None
     try:
         model = get_model(name, path=path)
         missing = [
@@ -422,6 +468,8 @@ def test_ai_model(name, path=AI_MODELS_PATH) -> dict:
     except urllib.error.HTTPError as exc:
         return {"ok": False, "status": exc.code, "error": f"HTTP {exc.code}"}
     except urllib.error.URLError as exc:
-        return {"ok": False, "error": str(exc.reason)}
+        secret_values = [model.get("api_key")] if model else []
+        return {"ok": False, "error": redact_secrets(str(exc.reason), secret_values)}
     except Exception as exc:
-        return {"ok": False, "error": str(exc)}
+        secret_values = [model.get("api_key")] if model else []
+        return {"ok": False, "error": redact_secrets(str(exc), secret_values)}

app/gui.py

@@ -85,6 +85,17 @@ if QT_IMPORT_ERROR is None:
     from . import config as account_config
 
 
+    PLAINTEXT_SECRET_TITLE = "本地明文保存提示"
+    PLAINTEXT_API_KEY_WARNING = (
+        "API Key 会以本地明文保存到 config/ai_models.json，仅供本机调用 AI 使用。"
+        "该文件已 gitignore，UI 打码显示，日志/导出不记录明文。"
+    )
+    PLAINTEXT_PASSWORD_WARNING = (
+        "密码会以本地明文保存到本地 SQLite，仅供人工参考，不会自动登录/自动填。"
+        "数据库文件已 gitignore，请勿提交或分享。"
+    )
+
+
     def _database_path(db_path=None, config=None) -> str:
         return db_path or appconfig.db_path(config)
 
@@ -2496,7 +2507,7 @@ if QT_IMPORT_ERROR is None:
 
         def execute(self):
             result = appconfig.test_ai_model(self.model_name, path=self.ai_models_path)
-            payload = dict(result or {})
+            payload = dict(appconfig.sanitize_for_log(result or {}))
             payload["name"] = self.model_name
             return payload
 
@@ -2787,6 +2798,9 @@ if QT_IMPORT_ERROR is None:
             model = self._form_values()
             if model is None:
                 return
+            current = self._current_model()
+            if self._should_warn_plaintext_api_key(model, current):
+                self._show_plaintext_api_key_warning()
             try:
                 if self.current_model_name is None:
                     appconfig.add_ai_model(model, path=self.ai_models_path)
@@ -3141,6 +3155,18 @@ if QT_IMPORT_ERROR is None:
             QMessageBox.warning(self, "设置", message)
             self._set_status(message)
 
+        def _should_warn_plaintext_api_key(self, model, current):
+            new_key = str((model or {}).get("api_key") or "")
+            current_key = str((current or {}).get("api_key") or "")
+            return bool(new_key) and new_key != current_key
+
+        def _show_plaintext_api_key_warning(self):
+            QMessageBox.warning(
+                self,
+                PLAINTEXT_SECRET_TITLE,
+                PLAINTEXT_API_KEY_WARNING,
+            )
+
         def _current_model(self):
             return self._model_by_name(self.current_model_name)
 
@@ -3293,11 +3319,14 @@ if QT_IMPORT_ERROR is None:
             dialog = AccountDialog(self, default_port=default_port, config=self.config)
             if dialog.exec() != QDialog.Accepted:
                 return
+            values = dialog.values()
+            if self._should_warn_plaintext_password(values):
+                self._show_plaintext_password_warning()
             try:
                 accounts.create_account(
                     path=self.db_path,
                     config=self.config,
-                    **dialog.values(),
+                    **values,
                 )
             except Exception as exc:
                 self._show_error(exc)
@@ -3317,12 +3346,15 @@ if QT_IMPORT_ERROR is None:
             )
             if dialog.exec() != QDialog.Accepted:
                 return
+            values = dialog.values()
+            if self._should_warn_plaintext_password(values, account):
+                self._show_plaintext_password_warning()
             try:
                 updated = accounts.update_account(
                     account.alias,
                     path=self.db_path,
                     config=self.config,
-                    **dialog.values(),
+                    **values,
                 )
             except Exception as exc:
                 self._show_error(exc)
@@ -3421,6 +3453,18 @@ if QT_IMPORT_ERROR is None:
             self._set_status(f"快捷方式已生成：{shortcut_path}")
             QMessageBox.information(self, "账号管理", f"快捷方式已生成：\n{shortcut_path}")
 
+        def _should_warn_plaintext_password(self, values, account=None):
+            new_password = str((values or {}).get("password") or "")
+            current_password = str(getattr(account, "password", None) or "")
+            return bool(new_password) and new_password != current_password
+
+        def _show_plaintext_password_warning(self):
+            QMessageBox.warning(
+                self,
+                PLAINTEXT_SECRET_TITLE,
+                PLAINTEXT_PASSWORD_WARNING,
+            )
+
 
     class MainWindow(QMainWindow):
         """Main application window with the fixed five-tab workflow."""

docs/02-requirements.md

@@ -91,7 +91,7 @@
 | 执行方式 | 多账号串行、逐任务执行，单条失败继续 |
 | 旧标题/旧封面 | 程序在「采集」阶段改前抓取的快照（输出列），运营不填 |
 | 新标题/新封面 | AI 生成（输出列），直接用于 ③；不设逐条确认阶段，本地留档+回写 Excel 供追溯 |
-| AI 服务 | 文本+图像生成，服务商/模型待定；Key 本地明文存于 `config/ai_models.json`，UI 打码、不入日志；见 [技术栈](03-tech-stack.md) |
+| AI 服务 | 文本+图像生成，服务商/模型待定；Key 本地明文存于 `config/ai_models.json`，首次保存/变更时提示，UI 打码、不入日志；见 [技术栈](03-tech-stack.md) |
 | 本地图片 | 旧封面下载、新封面生成存本地图片目录，路径记 DB |
 | 结果落库时机 | 各阶段处理完立即写 SQLite；该 Excel 全部完成后批量回写原文件 |
 | 原文件被占用 | 回写时若原 Excel 被锁定，提示关闭重试或另存副本（SQLite 为事实来源） |
@@ -100,11 +100,11 @@
 ## 七、待确认 / 风险点
 
 - **账号 / 凭证风险**：登录态存在各账号 user-data-dir，等同账号凭证；目录不得提交版本库、不得外传。
-- **本地敏感文件风险**：Tab④ 的密码本地明文存于 SQLite，仅供人工参考，**绝不自动登录/自动填**；AI Key 本地明文存于 `config/ai_models.json`；`config.json`、`config/ai_models.json`、`cmshopee.db`、`chrome_user_data_dir/`、`images/` 必须 gitignore；UI 打码、日志脱敏（见 [任务 T-503](06-tasks.md)）。
+- **本地敏感文件风险**：Tab④ 的密码本地明文存于 SQLite，仅供人工参考，**绝不自动登录/自动填**；AI Key 本地明文存于 `config/ai_models.json`；首次保存/变更密码或 API Key 时必须提示“本地明文保存”；`config.json`、`config/ai_models.json`、`cmshopee.db`、`chrome_user_data_dir/`、`images/` 必须 gitignore；UI 打码、日志/导出脱敏（见 [任务 T-503](06-tasks.md)）。
 - **别名匹配风险**：别名以 Excel 列为准；不匹配的行略过并最后弹窗，执行起始在日志逐条打印「文件→匹配账号」留痕，防误改。
 - **AI 主图风险（高，已知并接受）**：本设计不设逐条人工审核和常驻提交开关；AI 生成的标题/封面经 ③ 批量确认后会提交线上。主图若失真/夸大/侵权可能违反 Shopee 规则甚至下架。缓解：开始更新前弹窗确认筛选范围和任务数量，新图本地留档 + 回写 Excel 供事后追溯；强烈建议先在测试商品验证再批量。
 - **AI 成本与依赖**：接入文本+图像 AI = 新外部依赖 + API 费用 + Key 管理；服务商/模型/合规待 [技术栈](03-tech-stack.md) 确认。
-- **AI Key 安全**：Key 本地明文存于 `config/ai_models.json`，UI 打码，不写日志，不提交版本库。
+- **AI Key 安全**：Key 本地明文存于 `config/ai_models.json`，保存/变更时提示，UI 打码，不写日志，不提交版本库。
 - **第三方平台风险**：Shopee 页面结构、class 名、接口随时可能变；限流、风控、封号风险存在，禁止高频批量。
 - **自动化边界风险**：③ 确认后会自动改标题、上传图片、拖拽并点「更新」提交线上；点「开始更新」并确认前需自行确保筛选范围、任务来源与 AI 产出可接受。
 - **合规风险**：仅在自有/授权账号上操作；遵守 Shopee 卖家条款；不绕过任何平台限制。

docs/03-tech-stack.md

@@ -17,7 +17,7 @@
 | 应用配置 | `config.json`（JSON，stdlib） | 已定 | 少量应用级设置：Chrome 路径、目录根、端口、DB 路径等 |
 | 业务数据 | SQLite（stdlib `sqlite3`，`cmshopee.db`） | 已定 | 账号、任务、结果：成行增长、要查询/统计/导出 |
 | Excel 读写 | `openpyxl` | 已定 | 导入任务、回写结果；stdlib 读不了 .xlsx |
-| AI 模型注册 | `config/ai_models.json` 多模型清单（HTTP 调用） | 已定（结构） | 每模型 name/category(text/image)/url/model/key/api_type/连接超时；⑤ 设置可增删改+测试连接 |
+| AI 模型注册 | `config/ai_models.json` 多模型清单（HTTP 调用） | 已定（结构） | 每模型 name/category(text/image)/url/model/key/api_type/连接超时；⑤ 设置可增删改+测试连接；Key 本地明文保存，保存/变更时提示 |
 | AI 文本生成 | `app/ai.py` 读取 `default_text_model`（category=text），通用 chat JSON HTTP | 已接入 | 提示词+旧标题→新标题；失败重试，错误脱敏 |
 | AI 图像生成 | `app/ai.py` 读取 `default_image_model`（category=image），支持 chat 多模态 JSON / images_edits multipart | 已接入 | 提示词+旧封面→新封面；分辨率 512/1k/2k/4k，jpg_quality 存盘，返回超时随分辨率 |
 | 并发 | 标准库 `concurrent.futures.ThreadPoolExecutor` | 已定 | 标题/图片分别按并发数并行；可停止、可重试 |
@@ -33,6 +33,7 @@
 - **多账号隔离用独立 user-data-dir，不用 Chrome profile**：profile 共享同一 user-data-dir/进程/调试端口，无法每账号独立 CDP 与并行；独立 user-data-dir 才契合自动化。详见 [架构 3.0](04-architecture.md)。
 - **快捷方式生成用 PowerShell（无额外依赖）**：用 `WScript.Shell.CreateShortcut` 生成 `.lnk`，不引入 `pywin32` 等依赖。
 - **AI 服务商不写死在代码里**：T-301 已采用 `config/ai_models.json` 的通用 HTTP 接入，当前支持 OpenAI-compatible chat JSON 与 images_edits multipart；具体服务商/模型/Key 由⑤设置维护。
+- **敏感信息不加密但强提示与脱敏**：密码与 AI Key 只在本机 SQLite / `config/ai_models.json` 明文保存；保存/变更时弹窗提示，UI 打码，日志/导出必须脱敏，相关本地文件必须 gitignore。
 - **AI 产出无逐条审核**：生成的新标题/新封面经 ③ 批量确认后提交线上；无常驻提交开关，本地留档 + 回写 Excel 供追溯。
 - **不引入数据库（指外部 DB）**：用 stdlib SQLite 足够；不引入 Postgres/MySQL 等。
 - **生产在 Windows 直跑**：开发期我们用过 WSL→Windows 的 `netsh portproxy`（9333→9222）连 CDP；但 GUI 与 Chrome 都在 Windows 时，直接连 `127.0.0.1:9222`，无需 portproxy。

docs/04-architecture.md

@@ -125,7 +125,7 @@ imported  →  collected  →  generated  →  applied
 - `resolution`：当前分辨率，下拉 `512 / 1k / 2k / 4k`。
 - `resolution_timeouts`：分辨率 → **等待大模型返回超时(秒)** 的映射；用户选分辨率即自动套用，不单独填。
 - 模型本身的定义（url/key/类型/连接超时…）在 `config/ai_models.json`，见 5.1b。
-- 密钥不在 `config.json`：每个模型的 `api_key` 存于 `config/ai_models.json`，本地明文保存、UI 打码、gitignore、不入日志。
+- 密钥不在 `config.json`：每个模型的 `api_key` 存于 `config/ai_models.json`，本地明文保存、保存/变更时弹窗提示、UI 打码、gitignore、不入日志/导出。
 
 `shopee_update` 段放**真实更新前的安全开关**：
 
@@ -150,7 +150,7 @@ imported  →  collected  →  generated  →  applied
       "enabled": true,
       "url": "https://api.vectorengine.ai/v1/chat/completions",
       "model": "gemini-3.1-flash-image-preview",   // 模型 ID
-      "api_key": "***",               // 密钥：本地明文存、UI 打码、不入日志、不进版本库
+      "api_key": "***",               // 密钥：本地明文存、保存/变更时提示、UI 打码、不入日志/导出、不进版本库
       "api_type": "auto",             // chat | images_edits | auto —— 决定请求构造方式
       "connect_timeout_seconds": 30,  // 连接该服务超时（每模型，默认 30）
       "timeout_seconds": 0,           // 返回超时：0/留空 = 运行时按 resolution_timeouts 取值
@@ -166,7 +166,8 @@ imported  →  collected  →  generated  →  applied
 - 约束：**至少各有一个 text 与一个 image 模型**；下拉默认最少一项、删到剩一项时禁用「删除」。
 - `connect_timeout_seconds`（连接超时）属于**模型**；返回超时由分辨率映射决定（不在模型上单设）。
 - `api_type` 反映不同 API 形状（`chat`/`images_edits`/`auto`），请求构造按它分支。
-- `name` 唯一；`api_key` 本地明文保存、打码显示。
+- `name` 唯一；`api_key` 本地明文保存、保存/变更时弹窗提示、打码显示。
+- 日志/状态/导出不得含密码或 API Key；结构化对象统一先过 `appconfig.sanitize_for_log()`，自由文本只允许在掌握明文值时用 `appconfig.redact_secrets()` 替换。
 
 ### 5.2 SQLite `cmshopee.db`
 
@@ -190,7 +191,7 @@ CREATE TABLE accounts (
   slug          TEXT UNIQUE NOT NULL,   -- user-data-dir 子目录名 [a-z0-9_]
   user_data_dir TEXT NOT NULL,
   debug_port    INTEGER NOT NULL,
-  password      TEXT,                   -- 本地明文，仅参考，不自动登录；UI 打码，gitignore
+  password      TEXT,                   -- 本地明文，仅参考，不自动登录；保存/变更时提示；UI 打码，gitignore
   note          TEXT,
   created_at    TEXT NOT NULL,
   updated_at    TEXT NOT NULL,
@@ -406,7 +407,7 @@ cmshopee/
 - `app` 包内模块优先用相对导入（如 `from .cdp import CDP`）；根入口 `main.py` 用 `from app.gui import main`。
 - 存储边界：应用设置→config.json，账号/任务/结果→SQLite，图片→本地目录并记路径于 DB，登录态→user-data-dir；同一事实只存一处。
 - 别名是账号↔任务唯一关联键。
-- 密码与 AI Key 本地明文保存、UI 打码、不外传、不写日志；不自动登录。
+- 密码与 AI Key 本地明文保存，保存/变更时弹窗提示；UI 打码、不外传、不写日志/导出；不自动登录。
 - AI 生成内容直接进入 ③ 更新候选；③ 批量确认后提交，新图本地留档 + 回写 Excel 以备追溯。
 - 高风险模块先单独验证，再接入流水线。
 - GUI 只通过 signal/slot 接收 worker 进度；禁止后台线程直接操作 Qt widget 或共享 SQLite connection。

docs/05-coding-rules.md

@@ -76,7 +76,7 @@ python prototypes/demo.py            # 单账号闭环验证（不提交）
 ## 7. 绝不
 
 - 绝不把真实账号、密码、Cookie、token 写进代码、文档或日志。
-- 绝不把密码/API Key 写进代码、文档、日志或导出文件；本地配置/DB 可明文保存，必须 gitignore，UI 打码。
+- 绝不把密码/API Key 写进代码、文档、日志或导出文件；本地配置/DB 可明文保存，必须 gitignore，保存/变更时提示“本地明文保存”，UI 打码。
 - 绝不把 `config.json`、`config/ai_models.json`、`cmshopee.db`、`chrome_user_data_dir/`、`images/` 提交版本库。
 - 绝不提交运营填写后的 Excel 业务文件；根目录 `shopee待处理任务模板.xlsx` 是标准空模板，允许提交。
 - 绝不自动登录 / 自动填账号密码；登录由人工完成，程序只检测登录态。
@@ -87,6 +87,7 @@ python prototypes/demo.py            # 单账号闭环验证（不提交）
 ## 8. 安全与合规
 
 - 登录凭证只存在于各账号 user-data-dir；不导出、不外传、不写入配置或日志。
+- 写日志、状态 payload、导出调试信息前，结构化数据先过 `appconfig.sanitize_for_log()`；自由文本只有在掌握明文值时才用 `appconfig.redact_secrets()` 替换，不要把原始密码/API Key 拼进异常或状态栏。
 - 涉及 Shopee 时，遵守 `04-architecture.md` 写明的页面规则与限流边界；不高频批量、不绕风控/验证码。
 - 高风险动作（删满 9 张的封面、点击更新）必须有显式确认，并先在测试商品验证；删满 9 张封面前还必须有本地旧封面备份，缺失备份时拒绝删除。
 - V1 无常驻提交开关；③ 的批量确认弹窗是提交线上前的确认边界。dry-run 属 V2。

docs/06-tasks.md

@@ -82,7 +82,7 @@
 | T-501b | Tab⑤ 设置 · 角色与生成参数：标题大模型/图片大模型下拉、分辨率(512/1k/2k/4k)、返回超时随分辨率、并发/重试/jpg质量、路径/端口 | T-501 | 角色下拉按类别过滤；分辨率选后返回超时按 resolution_timeouts 自动；持久化 config.json | DONE |
 | T-501c | Tab⑤ 设置 · Shopee 更新安全开关 | T-501b | 配置测试商品 ID、是否允许真实提交、是否允许更新封面、单次最大更新条数、成功后是否自动关闭本次新开编辑 tab；默认关闭真实提交和封面更新；Tab③ 执行前读取并拦截不符合安全配置的更新 | DONE |
 | T-502 | 满 9 张封面：删第一张再上传 | T-001 | 已实现备份校验、删第一张、确认弹窗、再上传和拖首位；删除前必须确认该任务已有本地旧封面备份（`old_cover_path` 存在且文件存在），缺失则拒绝删除并报错；已在 9 图测试商品 `29671243750` 上实测不提交流程 | DONE |
-| T-503 | 敏感信息本地明文存储提示与日志脱敏 | T-105, T-501 | 首次保存密码/API Key 时提示“本地明文保存”；UI 打码；日志/导出不含密码/API Key；文档说明 `config.json`/`config/ai_models.json`/DB/user-data-dir/images 必须 gitignore | TODO |
+| T-503 | 敏感信息本地明文存储提示与日志脱敏 | T-105, T-501 | 首次保存密码/API Key 时提示“本地明文保存”；UI 打码；日志/导出不含密码/API Key；文档说明 `config.json`/`config/ai_models.json`/DB/user-data-dir/images 必须 gitignore | DONE |
 | T-504 | 多账号并行 / dry-run / 运行日志（V2） | T-402 | 端口不冲突；dry-run 只预览；操作留痕 | TODO |
 
 ## 里程碑

docs/api.md

@@ -34,6 +34,14 @@ response_timeout(config=None) -> int           # = resolution_timeouts[resolutio
 
 `default_config()` / `load_config()` 包含 `shopee_update` 安全配置段：测试商品 ID、是否允许真实提交、是否允许封面更新、单次最大更新条数、成功后是否关闭本轮新开编辑页。`config.json` 不保存 AI Key；写入 `api_key` / `*_key` / `token` / `*_token` / `password` / `*_password` 等敏感字段时抛 `ConfigError`。AI Key 留给 `config/ai_models.json`。
 
+敏感信息展示/日志辅助：
+
+```python
+mask_secret(secret) -> str                   # 展示用打码
+sanitize_for_log(value) -> object            # 递归打码 api_key/password/token/*_key/*_token/*_password 字段
+redact_secrets(text, secret_values=None) -> str  # 用已知明文值替换自由文本中的秘密
+```
+
 AI 模型清单（`config/ai_models.json`，含本地明文密钥，已建；UI 由 ⑤ 设置复用）：
 
 ```python
@@ -48,7 +56,7 @@ test_ai_model(name) -> dict                   # 「测试连接」：用 key/url
 get_model(name) -> dict                        # 返回模型定义，含 api_key（调用方不得写日志）
 ```
 
-`list_ai_models()` 用于 UI/API 展示，默认不返回明文 `api_key`；`get_model()` 用于实际调用 AI，返回明文 `api_key`，调用方不得写日志或导出。`test_ai_model()` 不记录密钥；缺少 `url/model/api_key` 时直接返回 `{ok: False, error: ...}`。
+`list_ai_models()` 用于 UI/API 展示，默认不返回明文 `api_key`；`get_model()` 用于实际调用 AI，返回明文 `api_key`，调用方不得写日志或导出。`test_ai_model()` 不记录密钥，返回给 GUI 前仍由 worker 过 `sanitize_for_log()`；缺少 `url/model/api_key` 时直接返回 `{ok: False, error: ...}`。
 
 ## db 模块（`app/db.py`，已建）
 
@@ -324,7 +332,7 @@ TAB_STYLE: str                              # 顶层 Tab 栏防误点样式：
 ④ 账号管理要点：
 
 - 表格列：账号名、别名、地区、端口、登录状态、备注；不展示密码。
-- 弹窗字段：账号名、别名、地区、调试端口、密码、备注、slug、数据目录；密码框使用打码显示。
+- 弹窗字段：账号名、别名、地区、调试端口、密码、备注、slug、数据目录；密码框使用打码显示；首次保存/变更非空密码前弹窗提示“本地明文保存”。
 - 「启动登录」只启动 Chrome，人工登录；「检测登录」用 worker 跑 `accounts.detect_login()` 并刷新状态列；「快捷方式」调用 `accounts.create_shortcut()` 生成默认桌面 `.lnk`。
 
 ⑤ 设置当前要点（T-501）：
@@ -332,7 +340,7 @@ TAB_STYLE: str                              # 顶层 Tab 栏防误点样式：
 - `SettingsTab` 左侧为 AI 模型下拉与新增/删除按钮，右侧为模型详情表单。
 - 详情字段：启用、服务商名、类别（text/image）、api_type、模型 ID、网址、密钥、连接超时。
 - 模型数据读写复用 `appconfig.list_ai_models(..., reveal_api_key=True)`、`add_ai_model()`、`update_ai_model()`、`delete_ai_model()`；保存时保留现有 `extra_body` 与 `timeout_seconds`。
-- 密钥字段使用 `QLineEdit.Password` 打码显示；明文只写入已 gitignore 的 `config/ai_models.json`，不得进入日志/导出。
+- 密钥字段使用 `QLineEdit.Password` 打码显示；首次保存/变更非空 Key 前弹窗提示“本地明文保存”；明文只写入已 gitignore 的 `config/ai_models.json`，不得进入日志/导出。
 - 删除按钮在当前类别只剩 1 个模型时禁用；后端仍以“至少启用一个 text 和 image 模型”为硬约束。
 - 「测试连接」创建 `AIModelTestWorker` 后台调用 `appconfig.test_ai_model()`，GUI 主线程不直接发网络请求。
 - 角色与生成参数读写 `config.json`：标题大模型（仅 text）、图片大模型（仅 image）、标题/图片并发、失败重试、分辨率、jpg 质量。

docs/current-state.md

@@ -6,17 +6,17 @@
 ## 当前快照
 
 - 日期：2026-06-29
-- 阶段：V0 单账号 CDP 流程已验证；V1 已完成 T-000 正式代码包结构、T-001 `app/editor.py` 模块化、T-002 `app/appconfig.py` 应用配置、T-003 SQLite 持久化地基、T-004 本地数据忽略规则、T-005 AI 模型清单后端、T-006 单元测试基座、T-101 账号 user-data-dir 工具、T-102 Chrome 启动器、T-103 登录保活与检测、T-104 PySide6 主窗口骨架、T-104b PySide6 worker 基座、T-105 Tab④ 账号管理、T-106 账号快捷方式、T-201 Excel 导入入库、T-202 Tab① 任务列表与导入按钮、T-202b Tab① 导入汇总栏、T-203 采集旧标题旧封面、T-204 回写旧字段到原 Excel、T-204b 采集完成自动回写、T-205 首次未配账号/Chrome 未启动/未登录引导保护、T-205b 采集后关闭自动新建商品页 tab、T-301 AI 生成接口、T-302 Tab② AI 生成布局与任务列表、T-302p 提示词管理、T-303 Tab② 开始生成/停止/进度、T-401 Tab③ 更新列表筛选与开始更新确认、T-402 Tab③ 确认后串行更新、T-403 Tab③ 结果回写与结束汇总、T-501 Tab⑤ AI 模型管理 UI、T-501b Tab⑤ 角色与生成参数、T-501c Tab⑤ Shopee 更新安全开关、T-502 满 9 张封面删除再上传。
+- 阶段：V0 单账号 CDP 流程已验证；V1 已完成 T-000 正式代码包结构、T-001 `app/editor.py` 模块化、T-002 `app/appconfig.py` 应用配置、T-003 SQLite 持久化地基、T-004 本地数据忽略规则、T-005 AI 模型清单后端、T-006 单元测试基座、T-101 账号 user-data-dir 工具、T-102 Chrome 启动器、T-103 登录保活与检测、T-104 PySide6 主窗口骨架、T-104b PySide6 worker 基座、T-105 Tab④ 账号管理、T-106 账号快捷方式、T-201 Excel 导入入库、T-202 Tab① 任务列表与导入按钮、T-202b Tab① 导入汇总栏、T-203 采集旧标题旧封面、T-204 回写旧字段到原 Excel、T-204b 采集完成自动回写、T-205 首次未配账号/Chrome 未启动/未登录引导保护、T-205b 采集后关闭自动新建商品页 tab、T-301 AI 生成接口、T-302 Tab② AI 生成布局与任务列表、T-302p 提示词管理、T-303 Tab② 开始生成/停止/进度、T-401 Tab③ 更新列表筛选与开始更新确认、T-402 Tab③ 确认后串行更新、T-403 Tab③ 结果回写与结束汇总、T-501 Tab⑤ AI 模型管理 UI、T-501b Tab⑤ 角色与生成参数、T-501c Tab⑤ Shopee 更新安全开关、T-502 满 9 张封面删除再上传、T-503 敏感信息本地明文保存提示与日志脱敏。
 - 技术栈：Python 3.10+，自研 CDP（websocket-client + requests），SQLite（sqlite3）+ `config.json` + openpyxl + AI（`config/ai_models.json` 通用 HTTP，chat JSON / images_edits），GUI PySide6 5 Tab（已定）。
-- 生产代码：已建立 `app/` 包 + 根入口 `main.py`；`app/cdp.py` 为已验证 CDP 底座，已区分 `CDP.close()` 断开 WebSocket 与 `close_tab()` 关闭浏览器 target；`app/editor.py` 已封装登录状态检测、标题/封面/采集/更新按钮能力，并在采集结束后只关闭本轮自动新建的商品编辑页 tab、保留用户已有 tab，更新提交成功且设置开启时可关闭本轮自动新建商品页；`replace_cover()` 已实现满 9 张时先校验本地旧封面备份，再点第一张删除、可见确认框、上传新图并拖到第一位的代码路径；`app/appconfig.py` 已实现 `config.json` 默认值/读写/更新、AI 参数、端口读取与 Shopee 更新安全默认值，以及 `config/ai_models.json` 模型清单 CRUD/过滤/打码/测试连接；`app/ai.py` 已实现 `gen_title()`/`gen_cover()`/`generate_batch()`，按默认文本/图片模型发起通用 HTTP 调用，支持重试、错误脱敏、图片 URL/base64 解析、resolution resize、jpg_quality 保存、先并发标题再并发封面、逐条 `set_generated`、失败 `mark_failed` 与停止取消未开始项；`app/prompts.py` 已实现标题提示词读写、封面模板 CRUD 与变量替换；`app/db.py` 已实现 SQLite schema、连接 PRAGMA、批次/账号/任务与阶段写库函数；`app/excel.py` 已实现多 Excel 输入列解析、整文件列校验、脏行统计跳过、导入批次与任务入库、别名匹配统计、旧标题/旧封面路径回写原 Excel、更新结果回写原 Excel 与另存副本；`app/config.py` 已实现账号 slug 与 user-data-dir 创建；`app/accounts.py` 已实现账号 CRUD 服务、端口默认分配、启动登录、检测登录、生成快捷方式；`app/chrome.py` 已实现 Chrome 参数拼装、启动、CDP 端口探测、PowerShell `.lnk` 快捷方式生成；`app/gui.py` 已实现 PySide6 `MainWindow`、五 Tab、顶部 Tab 栏防误点样式、① 导入采集的 Excel 导入按钮/导入汇总栏/QTableView 任务列表/未匹配筛选与略过标记/采集旧标题旧封面 worker/采集前账号就绪预检与④引导/采集完成自动回写/旧数据回写重试按钮与 worker、② AI生成左右布局/标题与封面提示词管理/批次店铺状态筛选/任务列表/变量预览/开始生成/停止/进度/双击新旧封面预览与 `GenerateWorker`、③ 更新shopee筛选栏/任务列表/更新安全开关拦截/开始更新确认弹窗/确认后 `ApplyWorker` 串行更新/账号就绪预检与④引导/逐条 `set_applied`/自动回写结果到 Excel/结束汇总弹窗/手动回写重试按钮、④ 账号管理表格/弹窗/按钮/快捷方式与状态栏、⑤ 设置 AI 模型 master-detail 管理、`AIModelTestWorker` 后台测试连接、角色/生成参数/路径/端口配置与 Shopee 更新安全设置并持久化 `config.json`；`app/workers.py` 已实现 `BaseWorker`、通用 signals、取消标记和 `QThread` 启动包装。
+- 生产代码：已建立 `app/` 包 + 根入口 `main.py`；`app/cdp.py` 为已验证 CDP 底座，已区分 `CDP.close()` 断开 WebSocket 与 `close_tab()` 关闭浏览器 target；`app/editor.py` 已封装登录状态检测、标题/封面/采集/更新按钮能力，并在采集结束后只关闭本轮自动新建的商品编辑页 tab、保留用户已有 tab，更新提交成功且设置开启时可关闭本轮自动新建商品页；`replace_cover()` 已实现满 9 张时先校验本地旧封面备份，再点第一张删除、可见确认框、上传新图并拖到第一位的代码路径；`app/appconfig.py` 已实现 `config.json` 默认值/读写/更新、AI 参数、端口读取与 Shopee 更新安全默认值，`config/ai_models.json` 模型清单 CRUD/过滤/打码/测试连接，以及 `mask_secret()`、`sanitize_for_log()`、`redact_secrets()` 敏感信息脱敏工具；`app/ai.py` 已实现 `gen_title()`/`gen_cover()`/`generate_batch()`，按默认文本/图片模型发起通用 HTTP 调用，支持重试、错误脱敏、图片 URL/base64 解析、resolution resize、jpg_quality 保存、先并发标题再并发封面、逐条 `set_generated`、失败 `mark_failed` 与停止取消未开始项；`app/prompts.py` 已实现标题提示词读写、封面模板 CRUD 与变量替换；`app/db.py` 已实现 SQLite schema、连接 PRAGMA、批次/账号/任务与阶段写库函数；`app/excel.py` 已实现多 Excel 输入列解析、整文件列校验、脏行统计跳过、导入批次与任务入库、别名匹配统计、旧标题/旧封面路径回写原 Excel、更新结果回写原 Excel 与另存副本；`app/config.py` 已实现账号 slug 与 user-data-dir 创建；`app/accounts.py` 已实现账号 CRUD 服务、端口默认分配、启动登录、检测登录、生成快捷方式；`app/chrome.py` 已实现 Chrome 参数拼装、启动、CDP 端口探测、PowerShell `.lnk` 快捷方式生成；`app/gui.py` 已实现 PySide6 `MainWindow`、五 Tab、顶部 Tab 栏防误点样式、① 导入采集的 Excel 导入按钮/导入汇总栏/QTableView 任务列表/未匹配筛选与略过标记/采集旧标题旧封面 worker/采集前账号就绪预检与④引导/采集完成自动回写/旧数据回写重试按钮与 worker、② AI生成左右布局/标题与封面提示词管理/批次店铺状态筛选/任务列表/变量预览/开始生成/停止/进度/双击新旧封面预览与 `GenerateWorker`、③ 更新shopee筛选栏/任务列表/更新安全开关拦截/开始更新确认弹窗/确认后 `ApplyWorker` 串行更新/账号就绪预检与④引导/逐条 `set_applied`/自动回写结果到 Excel/结束汇总弹窗/手动回写重试按钮、④ 账号管理表格/弹窗/按钮/快捷方式与状态栏、密码明文保存提示、⑤ 设置 AI 模型 master-detail 管理、API Key 明文保存提示、`AIModelTestWorker` 后台测试连接、角色/生成参数/路径/端口配置与 Shopee 更新安全设置并持久化 `config.json`；`app/workers.py` 已实现 `BaseWorker`、通用 signals、取消标记和 `QThread` 启动包装。
-- 测试：`tests/` 已建立；T-006 后纯逻辑改动必须运行 `python -m unittest discover -s tests`，当前覆盖 appconfig/db/config/accounts/chrome 启动与快捷方式/editor 登录检测与商品 tab 生命周期、更新成功后关闭本轮新开 tab、满 9 张封面备份缺失阻断/删除确认/上传拖首位 mock 路径/excel 导入/旧字段与更新结果回写/ai 标题与封面 HTTP 解析/`generate_batch` 正常、失败与停止/prompts 读写与渲染/gui ① 导入采集/gui ② AI生成布局筛选、提示词管理、生成 worker 与双击预览/gui ③ 更新shopee筛选列表、确认弹窗、Shopee 更新安全拦截、`ApplyWorker` 串行更新与账号预检、结果回写与汇总/gui ④ 账号管理/gui ⑤ AI 模型管理、角色/生成参数设置和 Shopee 更新安全设置/worker signal 与线程包装；CDP/Shopee 改动仍需测试商品手动验证。
+- 测试：`tests/` 已建立；T-006 后纯逻辑改动必须运行 `python -m unittest discover -s tests`，当前覆盖 appconfig/db/config/accounts/chrome 启动与快捷方式/editor 登录检测与商品 tab 生命周期、更新成功后关闭本轮新开 tab、满 9 张封面备份缺失阻断/删除确认/上传拖首位 mock 路径/excel 导入/旧字段与更新结果回写/ai 标题与封面 HTTP 解析/`generate_batch` 正常、失败与停止/prompts 读写与渲染/gui ① 导入采集/gui ② AI生成布局筛选、提示词管理、生成 worker 与双击预览/gui ③ 更新shopee筛选列表、确认弹窗、Shopee 更新安全拦截、`ApplyWorker` 串行更新与账号预检、结果回写与汇总/gui ④ 账号管理、密码打码与明文保存提示/gui ⑤ AI 模型管理、API Key 打码与明文保存提示、角色/生成参数设置和 Shopee 更新安全设置/worker signal 与线程包装；CDP/Shopee 改动仍需测试商品手动验证。
-- 数据：`config.json`、`config/ai_models.json`、`cmshopee.db`、`chrome_user_data_dir/`、`images/` 已由 `.gitignore` 排除；运营填写后的 Excel 业务文件默认忽略，标准空模板 `shopee待处理任务模板.xlsx` 可提交；`app/appconfig.py` 首次读取缺失的 `config.json` 时会在本地写默认配置，`app/db.py` 调用 `init_db()` 时会在本地创建 SQLite DB。
+- 数据：`config.json`、`config/ai_models.json`、`cmshopee.db`、`chrome_user_data_dir/`、`images/` 已由 `.gitignore` 排除；密码与 API Key 本地明文保存但保存/变更时提示，UI 打码，日志/导出必须脱敏；运营填写后的 Excel 业务文件默认忽略，标准空模板 `shopee待处理任务模板.xlsx` 可提交；`app/appconfig.py` 首次读取缺失的 `config.json` 时会在本地写默认配置，`app/db.py` 调用 `init_db()` 时会在本地创建 SQLite DB。
 
 ## 既定设计要点（文档已定）
 
 - GUI：**PySide6 5 Tab 流水线**，顺序 ① 导入采集 → ② AI生成 → ③ 更新shopee → ④ 账号管理 → ⑤ 设置；后台任务用 worker/QThread/signal。
 - 流水线阶段：imported → collected（采集旧标题/旧封面+下载+回写）→ generated（AI 提示词生成新标题/新封面）→ applied（③ 弹窗批量确认后改 Shopee 并提交）。**无 confirmed、无常驻提交开关。**
-- 存储：`config.json`（应用设置）+ `config/ai_models.json`（AI 模型清单与本地明文 Key）+ SQLite `cmshopee.db`（账号/任务/各阶段结果）+ openpyxl（Excel）+ 本地 `images/`（旧/新封面）。
+- 存储：`config.json`（应用设置）+ `config/ai_models.json`（AI 模型清单与本地明文 Key）+ SQLite `cmshopee.db`（账号/任务/各阶段结果，密码本地明文仅参考）+ openpyxl（Excel）+ 本地 `images/`（旧/新封面）；密码/API Key 保存或变更时提示，展示和日志/导出必须脱敏。
 - 多账号隔离：每账号独立 user-data-dir（非 profile）。
 - 账号↔任务绑定：以 Excel“别名”列为权威；未匹配略过，结束弹窗汇总。
 - 执行：多账号串行、单条失败继续；③ 点击「开始更新」后先通过 ⑤ Shopee 更新安全开关（真实提交、封面更新、测试商品 ID、最大条数），再弹窗确认当前筛选范围和任务数量，确认后逐条点「更新」提交线上。
@@ -32,20 +32,20 @@
 | `prototypes/` | 已有 | 已验证原型/探查脚本（demo/set_title/set_cover/get_title/cookies/inspect_images/grab/1.py），保留作人工回归与探查参考；见 `prototypes/README.md` |
 | `chrome-remote-debug-lan.md` | 已有 | WSL→Windows CDP 转发排查记录 |
 | `app/__init__.py` / `app/__main__.py` / `main.py` | 已有 | 正式包与启动入口；`python main.py` / `python -m app` 可运行占位入口 |
-| `app/gui.py` | 已有 | T-104/T-105/T-106/T-202/T-202b/T-203/T-204/T-204b/T-205/T-302/T-302p/T-303/T-401/T-402/T-403/T-501/T-501b/T-501c 产出：PySide6 `QMainWindow` + 五 Tab；顶部 Tab 栏防误点样式；① 导入采集导入按钮、导入汇总栏、`QTableView` 任务列表、未匹配筛选与略过标记、采集旧标题旧封面 worker、采集前账号就绪预检与④引导、采集完成自动回写与手动重试；② AI生成左右布局、提示词管理、筛选栏、任务列表、开始生成/停止/进度、双击新旧封面预览与 `GenerateWorker`；③ 更新shopee筛选栏、任务列表、Shopee 更新安全拦截、开始更新确认弹窗、确认后 `ApplyWorker` 串行更新、账号预检与④引导、逐条 `set_applied`、自动回写结果到 Excel、结束汇总弹窗与手动回写重试；④ 账号管理表格、账号弹窗、启动登录、检测登录、快捷方式；⑤ 设置 AI 模型下拉、新增/删除、详情编辑、密钥打码、测试连接 worker、默认角色下拉、生成参数、路径端口配置、Shopee 更新安全设置 |
+| `app/gui.py` | 已有 | T-104/T-105/T-106/T-202/T-202b/T-203/T-204/T-204b/T-205/T-302/T-302p/T-303/T-401/T-402/T-403/T-501/T-501b/T-501c/T-503 产出：PySide6 `QMainWindow` + 五 Tab；顶部 Tab 栏防误点样式；① 导入采集导入按钮、导入汇总栏、`QTableView` 任务列表、未匹配筛选与略过标记、采集旧标题旧封面 worker、采集前账号就绪预检与④引导、采集完成自动回写与手动重试；② AI生成左右布局、提示词管理、筛选栏、任务列表、开始生成/停止/进度、双击新旧封面预览与 `GenerateWorker`；③ 更新shopee筛选栏、任务列表、Shopee 更新安全拦截、开始更新确认弹窗、确认后 `ApplyWorker` 串行更新、账号预检与④引导、逐条 `set_applied`、自动回写结果到 Excel、结束汇总弹窗与手动回写重试；④ 账号管理表格、账号弹窗、密码本地明文保存提示、启动登录、检测登录、快捷方式；⑤ 设置 AI 模型下拉、新增/删除、详情编辑、密钥打码与本地明文保存提示、测试连接 worker、默认角色下拉、生成参数、路径端口配置、Shopee 更新安全设置 |
 | `app/workers.py` | 已有 | T-104b 产出：`BaseWorker` + 通用 signals + 取消标记 + `run_worker()` QThread 包装 |
 | `app/accounts.py` | 已有 | T-105/T-106 产出：账号 CRUD 服务、目录创建、端口分配、启动登录、检测登录、快捷方式 |
 | `app/editor.py` | 已有 | T-001/T-103/T-205b/T-501c/T-502 产出：登录状态检测、打开商品页、读/写标题、读/下载封面、采集后关闭自动新建商品页 tab、上传拖封面、满 9 张先校验旧封面备份再删第一张并上传、更新按钮、apply_task；更新成功后可按设置关闭本轮自动新建商品页 |
-| `app/appconfig.py` | 已有 | T-002/T-501c 产出：`config.json` 默认值、读写、更新、路径/端口/AI 参数读取、Shopee 更新安全默认值；拒绝敏感字段写入 |
+| `app/appconfig.py` | 已有 | T-002/T-501c/T-503 产出：`config.json` 默认值、读写、更新、路径/端口/AI 参数读取、Shopee 更新安全默认值；拒绝敏感字段写入；提供敏感值打码、结构化日志脱敏与自由文本替换工具 |
 | `app/ai.py` | 已有 | T-301/T-303 产出：`gen_title()`/`gen_cover()`/`generate_batch()`；读取默认模型；通用 HTTP 调用；失败重试；错误脱敏；封面按 resolution/jpg_quality 保存；批量生成先标题后封面、进度回调、逐条落库、失败标记、停止取消未开始项 |
 | `app/prompts.py` | 已有 | T-302p 产出：标题提示词读写、封面模板列表/读取/保存/重命名/删除、变量替换 |
 | `app/db.py` | 已有 | T-003 产出：batches/accounts/tasks schema；WAL/busy_timeout/foreign_keys；账号/批次/任务与 set_* 阶段写库 |
 | `app/config.py` | 已有 | T-101 产出：别名→稳定 slug；创建并返回绝对 user-data-dir |
 | `app/chrome.py` | 已有 | T-102/T-106 产出：Chrome 启动参数、`subprocess.Popen` 启动、`/json/version` 端口探测、PowerShell `.lnk` 快捷方式 |
-| `tests/` | 已有 | T-006/T-201/T-202/T-202b/T-203/T-204/T-204b/T-205/T-301/T-302/T-302p/T-303/T-401/T-402/T-403/T-501/T-501b/T-501c/T-502 产出：stdlib unittest 基座；覆盖 appconfig/db/config/accounts/chrome/editor/excel/ai/prompts/gui/workers |
+| `tests/` | 已有 | T-006/T-201/T-202/T-202b/T-203/T-204/T-204b/T-205/T-301/T-302/T-302p/T-303/T-401/T-402/T-403/T-501/T-501b/T-501c/T-502/T-503 产出：stdlib unittest 基座；覆盖 appconfig/db/config/accounts/chrome/editor/excel/ai/prompts/gui/workers |
 | `app/excel.py` | 已有 | T-201/T-204/T-403 产出：多文件 Excel 输入列解析、必需列整文件拒绝、脏行逐行跳过、批次/任务入库、匹配统计；按源文件/工作表/行号回写旧标题与旧封面路径；按源文件/工作表/行号回写新标题、新封面路径、更新状态；支持原文件被占用时另存副本 |
 | `shopee待处理任务模板.xlsx` | 已有，已提交 | 标准空 Excel 模板；单工作表 `待处理任务`，表头 `账号名 | 别名 | 商品id | 旧标题 | 旧封面图片路径 | 新标题 | 新封面图片路径 | 更新状态`；运营复制后填写，填写副本不提交 |
-| `config.json` / `config/ai_models.json` / `cmshopee.db` / `chrome_user_data_dir/` / `images/` | 本地存在或按需生成，已忽略 | 含配置、密钥、业务、登录态、图片，不提交版本库 |
+| `config.json` / `config/ai_models.json` / `cmshopee.db` / `chrome_user_data_dir/` / `images/` | 本地存在或按需生成，已忽略 | 含配置、密钥、业务、登录态、图片，不提交版本库；密码/API Key 保存或变更时提示，展示/日志/导出脱敏 |
 
 ## 已验证能力（单账号）
 
@@ -60,7 +60,7 @@
 
 任务状态以 [`06-tasks.md`](06-tasks.md) 为准，历史记录见 [`../progress.md`](../progress.md)。
 
-- 已完成：T-000（正式代码包结构）、T-001（`app/editor.py` 模块化）、T-002（`app/appconfig.py` + `config.json`）、T-003（SQLite 建表）、T-004（本地数据 gitignore）、T-005（AI 模型清单后端）、T-006（单元测试基座）、T-101（账号 slug/user-data-dir）、T-102（Chrome 启动器）、T-103（登录保活与检测）、T-104（PySide6 五 Tab 主窗口骨架）、T-104b（PySide6 worker 基座）、T-105（Tab④ 账号管理）、T-106（账号快捷方式）、T-201（Excel 导入：解析多文件输入列入库）、T-202（Tab① 任务列表 + 导入按钮 + 别名匹配标记）、T-202b（Tab① 导入汇总栏）、T-203（采集旧标题+旧封面）、T-204（回写旧字段到原 Excel）、T-204b（采集完成自动回写旧字段）、T-205（首次未配账号 / Chrome 未启动 / 未登录引导保护）、T-205b（采集后关闭自动新建商品页 tab）、T-301（AI 生成接口）、T-302（Tab② 左右布局与任务列表）、T-302p（提示词管理）、T-303（Tab② 开始生成 + 停止 + 进度）、T-401（Tab③ 更新列表筛选 + 开始更新确认弹窗）、T-402（Tab③ 确认后串行更新）、T-403（Tab③ 结果回写与结束汇总）、T-501（Tab⑤ AI 模型管理 UI）、T-501b（Tab⑤ 角色与生成参数）、T-501c（Tab⑤ Shopee 更新安全开关）、T-502（满 9 张封面删除再上传）。
+- 已完成：T-000（正式代码包结构）、T-001（`app/editor.py` 模块化）、T-002（`app/appconfig.py` + `config.json`）、T-003（SQLite 建表）、T-004（本地数据 gitignore）、T-005（AI 模型清单后端）、T-006（单元测试基座）、T-101（账号 slug/user-data-dir）、T-102（Chrome 启动器）、T-103（登录保活与检测）、T-104（PySide6 五 Tab 主窗口骨架）、T-104b（PySide6 worker 基座）、T-105（Tab④ 账号管理）、T-106（账号快捷方式）、T-201（Excel 导入：解析多文件输入列入库）、T-202（Tab① 任务列表 + 导入按钮 + 别名匹配标记）、T-202b（Tab① 导入汇总栏）、T-203（采集旧标题+旧封面）、T-204（回写旧字段到原 Excel）、T-204b（采集完成自动回写旧字段）、T-205（首次未配账号 / Chrome 未启动 / 未登录引导保护）、T-205b（采集后关闭自动新建商品页 tab）、T-301（AI 生成接口）、T-302（Tab② 左右布局与任务列表）、T-302p（提示词管理）、T-303（Tab② 开始生成 + 停止 + 进度）、T-401（Tab③ 更新列表筛选 + 开始更新确认弹窗）、T-402（Tab③ 确认后串行更新）、T-403（Tab③ 结果回写与结束汇总）、T-501（Tab⑤ AI 模型管理 UI）、T-501b（Tab⑤ 角色与生成参数）、T-501c（Tab⑤ Shopee 更新安全开关）、T-502（满 9 张封面删除再上传）、T-503（敏感信息本地明文保存提示与日志脱敏）。
 - 下一个可领取任务：**T-404（真实 Shopee 单条更新冒烟验收）**。仅用测试商品，默认先只测标题更新，必须经过 ⑤ 安全开关和 ③ 二次确认。
 
 ## 当前已知限制

docs/routes.md

@@ -122,13 +122,13 @@
 └───────────────────────────────────────────────────────────────┘
 ```
 
-账号弹窗字段：账号名、别名（唯一，Excel 用它匹配）、地区域名、调试端口、密码（本地明文仅参考，UI 打码，不自动登录）、备注；配置目录按别名生成 slug 只读显示。
+账号弹窗字段：账号名、别名（唯一，Excel 用它匹配）、地区域名、调试端口、密码（本地明文仅参考，保存/变更时提示，UI 打码，不自动登录）、备注；配置目录按别名生成 slug 只读显示。
 
 ## ⑤ 设置
 
 - AI 模型管理（T-501 已接入）：左侧模型下拉 + 新增/删除，右侧详情编辑。
   - 字段：启用、服务商名、类别（文本/图像）、api_type、模型ID、网址、密钥、连接超时。
-  - 密钥存在 `config/ai_models.json`，本地明文保存；UI 使用密码框打码显示，不进入日志。
+  - 密钥存在 `config/ai_models.json`，本地明文保存；保存/变更时提示；UI 使用密码框打码显示，不进入日志/导出。
   - 保存复用 `appconfig` 模型清单后端，保持 name 唯一、至少 text/image 各一个模型。
   - 「测试连接」通过后台 worker 调 `appconfig.test_ai_model()`，不阻塞主线程。
 - AI 生成参数（T-501b 已接入）：标题/图片模型角色下拉、标题并发数、图片并发数、失败重试次数、分辨率、jpg 质量。

progress.md

@@ -633,3 +633,12 @@
 - 满 9 张完整换封面实测：新开测试 tab，执行 `replace_cover(..., image=1_TY030.jpg, old_cover_path=备份路径)`，结果 `ok=True`，删除后上传新图，图片数回到 9，新图 `index=0` 且为第一位，测试 tab 已关闭。
 - 安全边界：全程只操作新开的测试 tab，未点击「更新」保存线上；线上真实保存仍需走 ⑤ 安全开关和 ③ 二次确认。
 - 文档：`docs/06-tasks.md` 将 T-502 标为 DONE；同步 `docs/04-architecture.md`、`docs/api.md`、`docs/current-state.md`。
+
+## 【2026-06-29】T-503 敏感信息本地明文保存提示与日志脱敏
+
+- 状态：DONE
+- 变更：`app/gui.py` 在④账号管理保存/变更非空密码前弹出“本地明文保存提示”，在⑤设置保存/变更非空 API Key 前弹出同类提示；账号表格仍不展示密码，API Key 字段继续使用 `QLineEdit.Password` 打码。
+- 脱敏：`app/appconfig.py` 新增 `mask_secret()`、`sanitize_for_log()`、`redact_secrets()`；`AIModelTestWorker.execute()` 返回 GUI 前对测试连接结果做结构化脱敏；`test_ai_model()` 的异常文本会用已知 API Key 做替换。
+- 测试：`tests/test_appconfig.py` 覆盖结构化日志脱敏；`tests/test_gui.py` 覆盖保存 API Key 提示、账号密码保存提示、表格/状态不泄露明文、AI 测试 worker payload 脱敏。
+- 文档：`docs/06-tasks.md` 将 T-503 标为 DONE；同步 `docs/02-requirements.md`、`docs/03-tech-stack.md`、`docs/04-architecture.md`、`docs/05-coding-rules.md`、`docs/api.md`、`docs/routes.md`、`docs/current-state.md`。
+- 验证：`python -m unittest discover -s tests -p test_appconfig.py` 通过（5 tests）；`python -m unittest discover -s tests -p test_gui.py` 通过（44 tests）；`python -m compileall app main.py tests` 通过；`python -m unittest discover -s tests` 通过（107 tests）。

tests/test_appconfig.py

@@ -113,6 +113,30 @@ class AppConfigTests(TempDirMixin, unittest.TestCase):
 
         self.assert_removed(temp_dir)
 
+    def test_sanitize_for_log_masks_secret_fields(self):
+        payload = {
+            "name": "demo",
+            "api_key": "sk-1234567890",
+            "nested": {
+                "password": "account-secret",
+                "items": [
+                    {"provider_token": "token-secret"},
+                    {"value": "safe"},
+                    {"api_key": {"value": "nested-secret"}},
+                ],
+            },
+        }
+
+        sanitized = appconfig.sanitize_for_log(payload)
+
+        self.assertEqual("demo", sanitized["name"])
+        self.assertEqual("sk-1***7890", sanitized["api_key"])
+        self.assertEqual("acco***cret", sanitized["nested"]["password"])
+        self.assertEqual("toke***cret", sanitized["nested"]["items"][0]["provider_token"])
+        self.assertEqual("safe", sanitized["nested"]["items"][1]["value"])
+        self.assertEqual("***", sanitized["nested"]["items"][2]["api_key"])
+        self.assertEqual("sk-1234567890", payload["api_key"])
+
 
 if __name__ == "__main__":
     unittest.main()

tests/test_gui.py

@@ -179,7 +179,12 @@ class GuiTests(TempDirMixin, unittest.TestCase):
             tab.api_key_edit.setText("sk-custom-secret")
             tab.api_type_combo.setCurrentIndex(tab.api_type_combo.findData("chat"))
             tab.connect_timeout_spin.setValue(12)
-            tab.save_model()
+            with mock.patch("app.gui.QMessageBox.warning") as warning:
+                tab.save_model()
+
+            warning.assert_called_once()
+            self.assertIn("本地明文保存", warning.call_args[0][1])
+            self.assertIn("config/ai_models.json", warning.call_args[0][2])
 
             saved = appconfig.get_model("Text Custom", path=models_path)
             self.assertEqual("text", saved["category"])
@@ -187,6 +192,7 @@ class GuiTests(TempDirMixin, unittest.TestCase):
             self.assertEqual("sk-custom-secret", saved["api_key"])
             self.assertEqual(12, saved["connect_timeout_seconds"])
             self.assertIn("AI 模型已保存：Text Custom", statuses[-1])
+            self.assertNotIn("sk-custom-secret", statuses[-1])
             self.assertTrue(tab.delete_model_button.isEnabled())
 
             with mock.patch("app.gui.QMessageBox.question", return_value=gui.QMessageBox.Yes):
@@ -444,6 +450,29 @@ class GuiTests(TempDirMixin, unittest.TestCase):
 
         self.assert_removed(temp_dir)
 
+    def test_ai_model_test_worker_sanitizes_secret_payload_fields(self):
+        with self.make_temp_dir() as temp_dir:
+            models_path = os.path.join(temp_dir, "ai_models.json")
+            worker = AIModelTestWorker("Text A", ai_models_path=models_path)
+
+            with mock.patch(
+                "app.gui.appconfig.test_ai_model",
+                return_value={
+                    "ok": False,
+                    "api_key": "sk-worker-secret",
+                    "password": "worker-password",
+                    "error": "连接失败",
+                },
+            ):
+                result = worker.execute()
+
+            self.assertEqual("Text A", result["name"])
+            self.assertEqual("sk-w***cret", result["api_key"])
+            self.assertEqual("work***word", result["password"])
+            self.assertEqual("连接失败", result["error"])
+
+        self.assert_removed(temp_dir)
+
     def test_generate_tab_has_prompt_editors_and_task_table(self):
         with self.make_temp_dir() as temp_dir:
             title_prompt_path = os.path.join(temp_dir, "title_prompt.txt")
@@ -1343,6 +1372,51 @@ class GuiTests(TempDirMixin, unittest.TestCase):
 
         self.assert_removed(temp_dir)
 
+    def test_accounts_tab_warns_before_saving_plaintext_password(self):
+        with self.make_temp_dir() as temp_dir:
+            cfg = self.make_config(temp_dir)
+            statuses = []
+            tab = AccountsTab(config=cfg, status_callback=statuses.append)
+            self.addCleanup(tab.close)
+
+            class FakeDialog:
+                def __init__(self, *args, **kwargs):
+                    pass
+
+                def exec(self):
+                    return gui.QDialog.Accepted
+
+                def values(self):
+                    return {
+                        "account_name": "主店",
+                        "alias": "alias",
+                        "region_host": "seller.shopee.tw",
+                        "debug_port": 9222,
+                        "password": "plain-password",
+                        "note": "",
+                    }
+
+            with mock.patch("app.gui.AccountDialog", FakeDialog), mock.patch(
+                "app.gui.QMessageBox.warning"
+            ) as warning:
+                tab.add_account()
+
+            warning.assert_called_once()
+            self.assertIn("本地明文保存", warning.call_args[0][1])
+            self.assertIn("SQLite", warning.call_args[0][2])
+            stored = accounts.get_account("alias", config=cfg)
+            self.assertEqual("plain-password", stored.password)
+            visible_values = [
+                tab.table.item(0, column).text()
+                for column in range(tab.table.columnCount())
+                if tab.table.item(0, column) is not None
+            ]
+            self.assertNotIn("plain-password", visible_values)
+            self.assertIn("账号已新增", statuses[-1])
+            self.assertNotIn("plain-password", statuses[-1])
+
+        self.assert_removed(temp_dir)
+
     def test_accounts_tab_updates_login_status_cell(self):
         with self.make_temp_dir() as temp_dir:
             cfg = self.make_config(temp_dir)