codex/api-key-ningbo-acceptance
main
使用更新后的安装脚本新部署时默认生成独立加密 keyring；旧 .env 和已有密钥保持原样。只更新镜像的老用户可继续使用原 Key，显式启用开关后才为旧部署配置加密，并通过带目标确认和检查点的迁移入口进入严格模式。
补齐 Bash/PowerShell 的密钥导出、备份及还原流程，保留完整历史 keyring、JWT、配置主密钥与字面字符；现有配置不被覆盖，备份文件采用私有权限。仓库部署文档说明新旧部署、显式迁移、备份恢复、缺失/错误密钥与轮换。
验证：Bash keyring 备份/恢复和安全环境自测已重新通过，覆盖轮换、保留、拒绝覆盖、权限及日志；此前 Windows PowerShell 5.1 和 pwsh 7 各 49/49 通过，脚本内容保持同一指纹。
宁波服务器业务验收尚未执行，不会把本地结果当作服务器通过；本次仅合并部署工具及文档，不实际部署或迁移服务器。
任务：credential-ningbo-20261012 提交：5cff1041a97f2a92cc29fb55f4dd7c60ba343ceb
首次安装默认生成独立加密密钥，更新旧部署保留原配置，通过显式开关进入迁移窗口。增加生产迁移包装入口和完整密钥环备份恢复工具，并说明旧镜像升级、严格迁移、轮换及还原流程。 已通过 Bash 安全环境及密钥备份回归；对应 PowerShell 5.1 和 7 脚本已在 Windows 原生环境各通过 49 项验收。宁波服务器验收尚未执行。
No dependencies set.
The note is not visible to the blocked user.
使用更新后的安装脚本新部署时默认生成独立加密 keyring；旧 .env 和已有密钥保持原样。只更新镜像的老用户可继续使用原 Key，显式启用开关后才为旧部署配置加密，并通过带目标确认和检查点的迁移入口进入严格模式。
补齐 Bash/PowerShell 的密钥导出、备份及还原流程，保留完整历史 keyring、JWT、配置主密钥与字面字符；现有配置不被覆盖，备份文件采用私有权限。仓库部署文档说明新旧部署、显式迁移、备份恢复、缺失/错误密钥与轮换。
验证：Bash keyring 备份/恢复和安全环境自测已重新通过，覆盖轮换、保留、拒绝覆盖、权限及日志；此前 Windows PowerShell 5.1 和 pwsh 7 各 49/49 通过，脚本内容保持同一指纹。
宁波服务器业务验收尚未执行，不会把本地结果当作服务器通过；本次仅合并部署工具及文档，不实际部署或迁移服务器。
任务：credential-ningbo-20261012
提交：5cff1041a97f2a92cc29fb55f4dd7c60ba343ceb