2504174a75
背景（2026-09-10 mc P0 事故）：某轮蒸馏把含真 Tailscale 预授权 key 的原始对话
当事实入库 → 知识图谱按其文本建实体 → ObsidianSyncer 用实体标题当文件名/正文，
把 tskey-auth-… 落成可读镜像文件，又被 git 跟踪并推送 Gitea。
本提交在三个写入边界统一加脱敏。
新增 internal/redact（唯一真源）：
- SecretPattern 覆盖 sk- / tskey- / github_pat_ / ghp_ / nvapi- / AKIA
- Go RE2 不支持 lookbehind，故"前一字符是否属于更长标识符"手工判定（isTokenByte）
- sk- 段只吃 [A-Za-z0-9]，避免误伤 URL 里的 task-driven 片段（事故中的假阳性来源）
- RedactSecrets 幂等；ContainsSecret 供"直接丢弃"场景用
四处接入：
- distill/quality.go IsQualityFact 判定前脱敏 + FilterQualityFacts 返回值脱敏
- governance/graph_auto.go cleanEntityName 命中→空串；UpdateFromDistill 只对有效实体
建节点/建边；extractEntitiesFromText 过滤；含凭证的 fact 不建节点
- api/routes/obsidian.go sanitizeFilename 入参脱敏 + PushToObsidian 镜像正文脱敏
- api/server.go 蒸馏直写记忆库路径（绕过 FilterQualityFacts 的那条）同步脱敏
测试：13 条新用例（redact 5 / distill 3 / governance 4 / routes 1），
含 URL 假阳性回归与幂等性断言。全部使用构造的假密钥，不含任何真实凭证。
证据：go build ./... OK；
go test -count=1 ./internal/redact/ ./internal/distill/ ./internal/governance/ ./internal/api/routes/ 全绿。
顺带修既有 test 腐化（否则 governance 包根本无法编译测试，非本任务引入）：
governance_test.go isContradiction→IsContradiction、Navigate 补 relFilter 参数；
bench_test.go 同。仅测试文件，无生产行为改动。
|
||
|---|---|---|
| .. | ||
| redact.go | ||
| redact_test.go | ||