feat(deploy): 补齐凭据加密接入迁移和密钥备份恢复

首次安装默认生成独立加密密钥，更新旧部署保留原配置，通过显式开关进入迁移窗口。增加生产迁移包装入口和完整密钥环备份恢复工具，并说明旧镜像升级、严格迁移、轮换及还原流程。

已通过 Bash 安全环境及密钥备份回归；对应 PowerShell 5.1 和 7 脚本已在 Windows 原生环境各通过 49 项验收。宁波服务器验收尚未执行。

.env.sample

@@ -128,6 +128,14 @@ CONFIG_JWT_SECRET=
 # 启动/升级脚本会为新部署生成；数据库中已有的 JWT 轮转配置优先，不会被覆盖。
 CONFIG_SECURITY_CONFIG_ENCRYPTION_KEY=
 
+# 独立凭据加密密钥。新安装由脚本生成，重复部署保留；不得复用 JWT 密钥。
+# 存量部署首次接入：DEPLOY_ENABLE_CREDENTIAL_ENCRYPTION=true ./update.sh
+# 未接入的旧部署保持兼容；已有密文时必须恢复原密钥，禁止重新生成。
+CONFIG_CREDENTIAL_ENCRYPTION_ACTIVE_KEY_ID=
+CONFIG_CREDENTIAL_ENCRYPTION_KEYRING=
+# 新安装 false；存量接入 true，迁移 verify --finalize=true 后关闭。
+CONFIG_CREDENTIAL_ALLOW_LEGACY_PLAINTEXT=
+
 # Canvas CLI / Agent WebSocket 短时票据专用签名密钥。
 # 启动和升级脚本会在缺失、过短时自动生成并持久化，无需手动填写。
 WS_AUTH_WS_TICKET_SECRET=