feat: v0.4.0 四阶段迭代 — 安全加固 + 工程基线 + 架构重构 + 双 Provider 扩展

P0 安全修复:
- API Key 加密存储（safeStorage 密钥链，版本化前缀，历史明文平滑兼容）
- 间接提示注入防护（SecurityScanHook 工具结果深扫描，网络工具脱敏/本地工具警示分级）
- error:report IPC 断链修复（渲染进程错误上报落 electron-log + 审计）
- abort 信号贯通工具层（run_command/dev-tools 子进程随会话中断终止）
- run_command 沙箱加固（cd 系统目录/敏感文件读取拦截 + chcp 前缀剥离防解析退化）
- .env 真实生效（dotenv 回退加载，应用内配置优先）

P1 工程基础:
- ESLint 9 flat config + 全部 34 条存量 warnings 清零（零容忍基线）
- 测试基线 118 用例 11 文件（token/文件防护/权限/沙箱/注入/命令/引擎/注册表/审计链/摘要分层）
- test:electron 双模式（ELECTRON_RUN_AS_NODE 跑 Electron ABI，SQLite 套件全执行）
- SessionRecorder 多会话隔离 + 9 种 TRACE 事件补全（含最终轮 iteration_end）
- Provider 故障转移（重试耗尽/不可重试一次性切换 fallback + 前端通知）
- MCP 真就绪（等待全部连接完成再广播 tools:ready）
- SLO/HealthChecker 真实接入（60s 巡检 + 托盘状态）
- CONFIG_DEFAULTS 单一来源（消除 SEED 双源漂移）

P2 架构升级:
- handlers.ts 1940 行拆分为 13 个 IPC 域模块（防重入注册 + 多窗口广播）
- AgentEngineManager 每会话独立引擎（LRU 30 + adapter 工厂隔离 abort 信号）
- TaskOrchestrator EngineProvider 改造 + abortByParent 联动中断 SubAgent
- 会话摘要分层上下文（session_summaries 滚动摘要 + 截断游标清理防因果污染）
- 消息编辑重发/重新生成（truncateAfter IPC + store 动作 + UI）
- Markdown 导出 / WebSearch 并行抓取（并发 3）/ 记忆 TF 缓存 / 版本构建期注入

P3 能力扩展:
- OpenAI Adapter（o 系列推理模型 reasoning_effort/max_completion_tokens）
- Anthropic Adapter（原生 Messages API：tool_use 块/角色合并/thinking budget/图片 base64/SSE 事件机）
- 设置页/Onboarding 六 Provider 全链路接入

electron/services/config.service.ts

@@ -15,6 +15,7 @@
 import type Database from 'better-sqlite3';
 import log from 'electron-log';
 import { GlobalConfigService, isGlobalKey, isUnconfiguredGlobalKey } from './global-config.service';
+import { decryptConfigValue, encryptConfigValue, isSensitiveConfigKey } from '../utils/secure-config';
 
 export interface ConfigRow {
   key: string;
@@ -56,6 +57,11 @@ export class ConfigService {
         parsed = row.value;
       }
 
+      // P0-1: 敏感 key 落盘为密文，读取时解密（含历史明文的平滑兼容——明文原样返回）
+      if (isSensitiveConfigKey(key)) {
+        parsed = decryptConfigValue(parsed);
+      }
+
       // 全局 key 的空值回退：若工作空间 DB 存在该 key 但值为"未配置"（如 llm.apiKey=''），
       // 且全局层有真实值，则返回全局层的值。
       // 解决场景：新工作空间 DB 被 seedDefaults 灌入 llm.apiKey='' / onboarding.completed=false，
@@ -81,10 +87,12 @@ export class ConfigService {
   /**
    * 设置配置值（保留已有 category）
    * 全局 key 同时写入工作空间 DB 和全局 JSON
+   * P0-1: 敏感 key（apiKey 等）加密后再落盘（DB 与全局 JSON 均为密文）
    */
   set(key: string, value: unknown): void {
     const db = this.getDB();
-    const jsonValue = JSON.stringify(value);
+    const storedValue = isSensitiveConfigKey(key) ? encryptConfigValue(value) : value;
+    const jsonValue = JSON.stringify(storedValue);
 
     // 查询已有 category，避免 INSERT OR REPLACE 覆盖为默认值
     const existing = db.prepare('SELECT category FROM app_config WHERE key = ?').get(key) as ConfigRow | undefined;
@@ -95,9 +103,9 @@ export class ConfigService {
       VALUES (?, ?, ?, ?)
     `).run(key, jsonValue, category, Date.now());
 
-    // 全局 key 同步写入全局层（跨工作空间共享）
+    // 全局 key 同步写入全局层（跨工作空间共享；全局层内部同样加密）
     if (this.globalConfig && isGlobalKey(key)) {
-      this.globalConfig.set(key, value);
+      this.globalConfig.set(key, storedValue);
     }
 
     log.debug(`Config set: ${key}`);
@@ -118,6 +126,10 @@ export class ConfigService {
       } catch {
         config[row.key] = row.value;
       }
+      // P0-1: 敏感 key 解密后再返回（与 get() 行为一致）
+      if (isSensitiveConfigKey(row.key)) {
+        config[row.key] = decryptConfigValue(config[row.key]);
+      }
     }
 
     // 全局层合并：与 get() 的回退逻辑保持一致