feat: 核心模块增强 — 加密 + 运行时配置 + 日志缓冲

- crypto.py: API Key 加密/解密工具
- runtime_config.py: 运行时动态配置管理
- log_buffer.py: 内存日志缓冲区
- config.py: 新增加密配置项
- http_client.py: 增强重试和错误处理

.env.example

@@ -27,7 +27,18 @@ API_FOOTBALL_KEY=
 # ---- CORS ----
 CORS_ORIGINS=http://localhost:5173,http://localhost:3000
 
+# ---- 加密主密钥 ----
+# 敏感配置(数据源/LLM API Key)入库加密与会话签名均由它派生。
+# 只存部署机 .env,切勿入库或提交;生成: openssl rand -base64 32
+# 变更后已加密配置无法解密,需在后台重新保存。
+SECRET_KEY=
+
 # ---- 管理接口鉴权 ----
-# 采集/回测/回填接口的访问密钥(请求头 X-API-Key)。
-# 留空 = 不启用鉴权(本地开发默认);生产环境必须设置强随机值。
+# 管理后台登录密码(/admin 页面与采集/回测/回填等管理接口)。
+# 此处为初始值:启动时自动迁移为 scrypt 哈希入库,迁移后本行可删除。
+# 之后请在后台「系统配置」页修改密码。留空 = 不启用密码登录(本地开发默认)。
+ADMIN_PASSWORD=
+# 管理接口会话有效期(小时),默认 7 天
+ADMIN_SESSION_TTL_HOURS=168
+# 备选: 机器/脚本直接调接口用的密钥(请求头 X-API-Key),与密码二选一即可
 ADMIN_API_KEY=