refactor(security): Store 复用 Codec 加密能力 + 删 globalCodec 单例

## 用户裁定

> store也应该调用security的加密能力！

## 改动前的事实（实测）

两套**完全重复**的 AES-256-GCM：

    Store.seal/open     store.go:372,388    裸 base64
    Codec.Seal/Open     codec.go:113,139    enc:v1: 前缀 + 域隔离 + 幂等

算法、nonce 布局（前置 + io.ReadFull(rand)）、密钥环轮换逻辑全都一样，
只有 Codec 多了前缀与域隔离。

危害不是"代码重复"这么轻：

  · 两套实现各自演化，任何一侧的改动不会被另一侧的判据发现
  · Store 缺域隔离 ⇒ 变量库与配置共用密钥（安全倒退）
  · Store 缺前缀 ⇒ 无法区分"旧密文"与"明文"（惰性迁移的障碍）

## 本次做的

### Store 委托 Codec

    codecOf()            按当前 keys 环惰性构建（轮换后自动跟上）
    sealWithRing()       新格式（enc:v1: 前缀）
    openWithStoreRing()  兼容新旧两种格式，返回 needsMigrate

删除 Store 自带的 seal/open/openWithRing —— 现在**只有一处** AES-GCM。

### 域隔离（安全判据）

    storeCodecDomain  = "security/variables"
    configCodecDomain = "config-at-rest"

两者必须不同：同域时一处明文泄漏可推导另一处密文。

### 存量密文惰性迁移

旧格式是裸 base64 无前缀，而 Codec.Open 对无前缀输入**原样返回明文**
（那是给 config 的存量明文兼容）。直接交给 Open 会把密文当明文返回，
症状是"凭据回填出一个 base64 串"。

所以 Store 走 openWithStoreRing：

    enc:v1:... → Codec.Open
    裸 base64  → Codec.OpenLegacy（解开后立刻回写新格式）

不做启动时全量迁移（21G 数据目录的教训：迁移窗口越长越危险），
也不让两种格式永久共存（判据永不能要求"落盘都是新格式"）。

### 删 globalCodec 单例 → 归 Runtime

    security 模块 → rt.SetCodec(c) → ks.Security
    config 模块   → cfgReg.SetCodec(ks.Security.Codec())

ConfigRegistry 加 codec 字段（注入而非读全局），6 处 ConfigCodec() 改为
r.codecOf()；PluginSettings 经 p.registry 转调。
sdk.SecretsAPI 也加 codec 参数（插件加密能力来自它的内核实例）。

### 顺带

  · InitConfigCodec* / ClearConfigCodec 删除，改 NewConfigCodec 返回实例
  · homed-key-rotate 改为 构造 + reg.SetCodec（不再装全局）
  · bootstrap_order_test 的锚点从 InitConfigCodecWithOldKeys 改为
    NewConfigCodec（守的不变量不变，只是生效点写法变了）

## 判据（均经变异验证）

  TestNoPackageLevelSingletons          禁表补入 globalCodec
  TestStoreWritesPrefixedCiphertext     新密文必须带 enc:v1:（旧实现裸 base64 ⇒ 红）
  TestStoreAndConfigUseDifferentDomains 域隔离；改成同域 ⇒ 红（实测确认）
  TestLegacyCiphertextStillReadableAndMigrates  旧格式可读 + 落盘已升级
  TestRotationKeepsOldCiphertextReadable        轮换后旧条目仍可回填

## 验证

  go build ./...              PASS
  go vet ./...                PASS
  gofmt -l                    干净
  go test ./... -count=1      63 包全过，0 FAIL
  干净检出（git worktree）     build + security/config 测试全绿

## 数据风险

加密实现切换有丢数据风险，因此：
  · 先写往返判据，再改实现
  · 惰性迁移（读到才升级），不做启动全量重写
  · 旧格式与旧密钥环**都保留**读取路径

internal/config/secret.go

@@ -113,9 +113,9 @@ func (p *PluginSettings) isSecretKeyLocal(key string) bool {
 //
 // 返回值语义：加密发生则 mem=false（调用方据此决定是否需回读校验）；
 // 非敏感键或未装配 codec 时原样返回。
-func sealForStorage(key, value string) (string, bool) {
+func (r *ConfigRegistry) sealForStorage(key, value string) (string, bool) {
 	if !security.IsEncrypted(value) {
-		c := security.ConfigCodec()
+		c := r.codecOf()
 		if c == nil || !c.Enabled() {
 			return value, false
 		}
@@ -133,11 +133,11 @@ func sealForStorage(key, value string) (string, bool) {
 // 非密文原样返回（**存量明文兼容**）：老数据不需要一次性迁移。
 // 密文但解不开 ⇒ **响亮失败**（返回错误而非密文），因为把密文
 // 当明文交出去会让下游拿到垃圾（比如把 `enc:v1:...` 当 API key 发出去）。
-func openFromStorage(key, stored string) (string, error) {
+func (r *ConfigRegistry) openFromStorage(key, stored string) (string, error) {
 	if !security.IsEncrypted(stored) {
 		return stored, nil
 	}
-	c := security.ConfigCodec()
+	c := r.codecOf()
 	if c == nil || !c.Enabled() {
 		return "", security.ErrNoMasterKey
 	}
@@ -164,7 +164,7 @@ func openFromStorage(key, stored string) (string, error) {
 //
 // 返回 (加密条数, 错误)。幂等：已加密的项不会被二次加密。
 func (r *ConfigRegistry) EncryptExistingSecrets() (int, error) {
-	c := security.ConfigCodec()
+	c := r.codecOf()
 	if c == nil || !c.Enabled() {
 		return 0, security.ErrNoMasterKey
 	}
@@ -243,7 +243,7 @@ func (r *ConfigRegistry) EncryptExistingSecrets() (int, error) {
 //
 // 幂等：已是当前钥的项不动。解不开的项**响亮计数**并跳过（不静默删）。
 func (r *ConfigRegistry) RekeySecrets() (int, int, error) {
-	c := security.ConfigCodec()
+	c := r.codecOf()
 	if c == nil || !c.Enabled() {
 		return 0, 0, security.ErrNoMasterKey
 	}
@@ -304,7 +304,7 @@ func (r *ConfigRegistry) RekeySecrets() (int, int, error) {
 //
 // 返回 (可解, 不可解)。不可解 > 0 就是密钥不匹配/缺代的硬信号。
 func (r *ConfigRegistry) AuditSecrets() (int, int, error) {
-	c := security.ConfigCodec()
+	c := r.codecOf()
 	if c == nil || !c.Enabled() {
 		return 0, 0, security.ErrNoMasterKey
 	}
@@ -393,16 +393,23 @@ func (r *ConfigRegistry) SecretKeys() []string {
 // 「磁盘上确实是密文」。生产代码不得使用。
 func (r *ConfigRegistry) DB() *sql.DB { return r.db }
 
-// ResetTestCodec 为判据装配一把固定主密钥。
+// NewTestCodec 造一把固定主密钥的配置 codec（供判据注入 Registry）。
+//
+// ★ 2026-11-04：从 ResetTestCodec 改名并改语义。
+//
+// 原实现调 security.InitConfigCodec 装**包级单例**（已删除）。现在返回
+// 实例，由调用方 `reg.SetCodec(c)` 注入 —— 与生产注入路径一致。
 //
 // 单独放在非 _test 文件里，是因为 proc 包（另一个包）的端到端判据
 // 也需要它 —— 跨包无法直接调 *_test.go 里的辅助函数。
-func ResetTestCodec(t interface {
+func NewTestCodec(t interface {
 	Helper()
 	Fatalf(string, ...interface{})
-}) {
-	if _, err := security.InitConfigCodec(
-		[]byte("0123456789abcdef0123456789abcdef")); err != nil {
+}) *security.Codec {
+	t.Helper()
+	c, err := security.NewConfigCodec([]byte("0123456789abcdef0123456789abcdef"), nil)
+	if err != nil {
 		t.Fatalf("装配测试 codec 失败: %v", err)
 	}
+	return c
 }