fix(extension): 收紧插件密钥与命令清单边界

docs/contracts/后端接口契约-开发版.md

@@ -176,7 +176,7 @@ RunCancelled
 
 ## 当前实现状态
 
-更新至 2026-09-02：后端 103 项回归测试通过；第二阶段 Plugin Command 与 Plugin Settings/Secret 接口已实现，详细 DTO 和边界见《第二阶段接口契约-开发版》第 7 节。
+更新至 2026-09-02：后端 107 项回归测试通过；第二阶段 Plugin Command 与 Plugin Settings/Secret 接口已实现，详细 DTO 和边界见《第二阶段接口契约-开发版》第 7 节。
 
 - Chat、Agent Run、Agent Events、Tool 列表、Provider 配置生命周期、模型列表和连接测试已经接入 AI Core。
 - Agent Run/Event 已持久化到 SQLite；SSE 帧携带 sequence `id`，断线后可以回放缺失事件。Trace API 与 Benchmark 共用同一事件事实，并在入库前执行 Secret 脱敏和结果限长。

docs/contracts/第二阶段接口契约-开发版.md

@@ -544,6 +544,8 @@ error
 
 当前宿主只注册已启用且已满足权限授权的 Plugin Command。执行前按 JSON Schema 校验参数、按 `when` 校验上下文，再根据 Command 声明裁剪 Context；单次执行默认超时 30 秒，effect 的 JSON 编码结果不得超过 64 KiB。宿主保留最多 500 条轻量审计事件，仅记录 Command、Plugin、状态、耗时和错误码，不记录 arguments、Context、effect 或 Secret。
 
+需要 Secret 的 Command 必须在 `commands.yaml` 的内部 `secrets` 数组中声明对应 Setting Key，并在 Plugin Manifest 声明 `secrets.use` 权限。安装时宿主校验该字段确实属于当前 Plugin Settings Schema 的 `secret` 类型；只有权限已授予并启用后，运行时才向受控 handler 提供按需 Resolver，未声明字段返回 `PLUGIN_SECRET_ACCESS_DENIED`。`secrets` 不属于前端 `PluginCommand` DTO，Secret 明文也不会并入普通 Settings 字典。
+
 ### 7.5 Settings Schema
 
 `GET /api/plugins/{plugin_id}/settings`
@@ -627,6 +629,8 @@ Secret 明文不进入普通 Settings、日志、Trace、Benchmark Dataset 或
 
 非敏感值按 `plugin_id` 写入 `APP_DATA_DIR/plugins/settings.json`。该文件只保存普通值、Schema 版本和确定性的 Secret Reference；Secret 本身由宿主凭据存储加密保存。卸载 Plugin 时同时清理它的 Settings 命名空间和 Secret Reference。当前开发阶段使用 Fernet 文件凭据存储，第三阶段接入桌面 Host 后应迁移到 Stronghold 或系统 Keychain。
 
+`plugin.*` 为宿主保留凭据命名空间。`/api/credentials/{credential_id}`、Provider 持久配置、Provider 临时测试凭据和 Provider Resolver 均拒绝该前缀，防止通过 Provider 链路覆盖、删除或向外部 Base URL 发送 Plugin Secret。
+
 ### 7.7 Plugin/MCP 错误码
 
 ```text
@@ -652,9 +656,11 @@ PLUGIN_SETTINGS_SCHEMA_INVALID
 PLUGIN_SETTINGS_VERSION_CONFLICT
 PLUGIN_SETTINGS_FIELD_INVALID
 PLUGIN_SECRET_FIELD_NOT_FOUND
+PLUGIN_SECRET_ACCESS_DENIED
 PLUGIN_SECRET_VALUE_INVALID
 PLUGIN_SECRET_STORE_ERROR
 PLUGIN_STORAGE_ERROR
+CREDENTIAL_NAMESPACE_RESERVED
 ```
 
 ---