feat(audit): add security audit logging to backend management APIs

[charmingchi1]

背景

平台管理类接口（模型、Agent、MCP、技能、配置、文件、知识库等）此前缺少统一的安全审计记录，安全事件发生后无法回溯"谁在什么时间对什么资源做了什么操作"。本 PR 依据安全审计需求，为后端管理接口补齐 SEC_AUDIT 安全审计事件。

审计实现

统一通过 services/audit_service.py 的 record_security_event() 记录事件，写入 audit.security logger（[SEC_AUDIT] 前缀），每条事件包含：

• 操作人（user_id）与租户（tenant_id）
• 操作类型（action，如 model_batch_import、tenant_model_batch_import 等）
• 请求上下文：客户端 IP、User-Agent（截断至 200 字符）
• 操作详情：接口关键标识字段（模型名、base_url 等）

安全与稳定性约束

• 凭据不入日志：白名单机制（如 _AUDIT_SAFE_MODEL_KEYS）仅复制非凭据字段，api_key / access_token 等敏感值永远不会进入审计日志
• 配置值脱敏：config_sync / memory_config 等配置接口不记录敏感配置值
• 防日志膨胀：新增 AUDIT_DETAIL_LIST_LIMIT = 20，批量操作详情列表超限自动截断，仅保留计数

覆盖接口

模块	文件
模型管理	model_managment_app.py（单条/批量导入，批量记录 models_count + 白名单字段）
Agent	agent_app.py、agent_repository_app.py
MCP	mcp_management_app.py、remote_mcp_app.py
技能	skill_app.py
配置	config_sync_app.py、memory_config_app.py（敏感配置值脱敏）
其他	file_management_app.py、tool_config_app.py、vectordatabase_app.py

测试

• 11 个测试文件新增约 1000 行用例，逐接口断言审计事件的 user_id / tenant_id / action / details 正确性
• 验证敏感字段（api_key、配置值）不出现在审计详情中
• 验证详情列表超过 20 条时被截断

[codecov]

Codecov Report

❌ Patch coverage is 99.18033% with 1 line in your changes missing coverage. Please review.

Files with missing lines	Patch %	Lines
backend/apps/remote_mcp_app.py	90.90%	1 Missing ⚠️

📢 Thoughts on this report? Let us know!