chore(security): 处置已入库的本地 DB 口令（P1-P3；P4 改历史不做）

背景（R14 登记的 §16.3）：
  git grep -l "74191221" HEAD 曾命中 7 个文件，全为本地 MariaDB root 口令
  （已核实无生产凭据）。本次按登记项执行 P1-P3；P4（git filter-repo 改写
  历史）明确不做。

P1  database/config.json（dev/test 两段明文口令）
  - 加入 .gitignore
  - 新增 database/config.json.example（口令为 CHANGE_ME 占位符）
  - git rm --cached（保留磁盘文件，本地 sequelize-cli 不受影响）
  - 注意：这是对共享仓库的文件移除。push 后其他克隆需
    cp database/config.json.example database/config.json 并填入口令。

P2  五个脚本口令环境变量化（去明文兜底）
  - add_word_cols.js / add_wx_link.js / show_tables.js / seed-carousel.js
    内联 '74191221' 改为 process.env.DB_PASSWORD（另支持 DB_HOST/DB_USER/DB_NAME）
  - scripts/diagnose_upload_download.cjs：process.env.DB_PASS || '74191221'
    改为 process.env.DB_PASS；用法注释中的示例口令改为占位符
  - 有意的行为变更：未注入 DB_PASSWORD 时明确失败，不再静默使用公开口令

P3  config/config.default.js 消除「生产静默回退公开口令」
  - sequelize.password 去掉 || '74191221'
  - redis.client.password 去掉 || '74191221'
  - 生产安全守卫新增 DB_PASSWORD 缺失阻断（与 JWT_SECRET/APP_KEYS 同源同形）
  - deploy/.env.production 本就含 DB_PASSWORD ⇒ 现网零影响

验证（全部实测）：
  - git grep 74191221 工作树零命中（HEAD 仍有，属 P4 不做范围）
  - 裸启动（无任何 DB 变量）成功：本地口令由 config.local.js 提供
  - 端到端：health db:ok + admin-login code=0
  - MySQL 侧独立取证：processlist = root @ competition_db
  - 变异测试（改坏 config.local.js 口令）⇒ 报 1045 且用户名仍为 root
    ⇒ 同证 P3 兜底确已移除 + R18 的生产账号过滤仍生效
  - P2 双向验证：无 DB_PASSWORD 失败 / 注入后正常列 27 张表
  - 门禁四连：verify_scoring_e2e 17/0、verify_exam_submit_integrity 46/0、
    verify_big_question --cleanup（清理+窗口还原）、check_no_proxy_guard 5 变异全检出

config/config.default.js

@@ -217,8 +217,10 @@ module.exports = (appInfo) => {
     port: parseInt(process.env.DB_PORT, 10) || 3306,
     // 兼容 docker-compose/.env.example 中的 DB_USER 与代码历史使用的 DB_USERNAME
     username: process.env.DB_USERNAME || process.env.DB_USER || 'root',
-    // 【测试模拟值 '74191221'，仅供本地/测试部署；生产请通过 DB_PASSWORD 环境变量注入真实密码】
-    password: process.env.DB_PASSWORD || '74191221',
+    // 🔴 口令不再内置明文兜底（2026-09-23 入库口令处置 P3）：
+    //   生产 —— 必须由 .env.production 注入 DB_PASSWORD（缺失则由下方生产安全守卫阻断启动）；
+    //   本地 —— 由 config/config.local.js（已 gitignore）深合并覆盖为真实本机口令。
+    password: process.env.DB_PASSWORD,
     timezone: '+08:00',
     define: {
       underscored: true,
@@ -279,7 +281,8 @@ module.exports = (appInfo) => {
     client: {
       port: parseInt(process.env.REDIS_PORT, 10) || 6379,
       host: process.env.REDIS_HOST || '127.0.0.1',
-      password: process.env.REDIS_PASSWORD || '74191221',
+      // 🔴 同上：不再内置明文兜底（2026-09-23 P3）。Redis 当前全库无使用点，留空为零影响。
+      password: process.env.REDIS_PASSWORD || '',
       db: 0,
     },
   };
@@ -442,6 +445,11 @@ module.exports = (appInfo) => {
     const insecure = [];
     if (config.jwt.secret === DEFAULT_JWT_SECRET) insecure.push('JWT_SECRET');
     if (config.keys === DEFAULT_APP_KEYS) insecure.push('APP_KEYS');
+    // 🔴 2026-09-23（入库口令处置 P3）：口令缺失同样阻断。
+    //    原实现在此处会静默回退到公开的开发口令，等价于「生产用公开口令连库」。
+    //    现要求生产必须显式注入 DB_PASSWORD（deploy/.env.production 本就含该键，
+    //    故现网永不触发本分支；一旦触发说明注入链路断了，明确阻断优于连不上库）。
+    if (!config.sequelize.password) insecure.push('DB_PASSWORD');
     if (insecure.length > 0) {
       // 生产环境仍在使用硬编码默认密钥属于严重安全隐患，直接阻断启动
       throw new Error(