清除已跟踪文件中的密钥明文并新增泄露门禁

症状

根因

错误签名

fix(security): 清除已跟踪文件中的密钥明文并新增泄露门禁 发现两处已随仓库推送到 Gitea 的密钥明文：
- 检查项目完工进度202609238058.md: UC_CLIENT_SECRET / STATE_SECRET
- 开发记录*.md / verify_admin_login.py: 硬编码 admin API Key（czk_*，均已废弃）

处置：
- 全部替换为 ***REDACTED***，保留标记作为脱敏留痕
- 新增 tests/test_secret_leak_guard.py（4 用例）作为长期门禁

门禁设计要点：
- 只拦 git 已跟踪文件。未跟踪的（如 .env）放行 —— 那里放真密钥是设计如此，
  强改会造成配置漂移
- .governance/ 目录带 Everyone:(DENY)(DC) ACL，是 L5 治理体系的自治边界护栏，
  不为跑测试撬开；改走 git show HEAD:<path> 回退读取同一份内容完成扫描
- 读不到的文件显式报出而非静默跳过（扫不到 ≠ 干净）
- 已双向验证：git add 后立即变红

技术信息