API key 经 Fernet 加密存储于本地 DB，前端只显示脱敏值。留空的 provider 走环境变量兜底。