feat(agent-db): 引入 db-conn.sh 统一数据库入口，各 agent 改用专用账号

- 新增 scripts/db-conn.sh：按 agent id 反查中文名，读 .env 后经 MYSQL_PWD 转发给 docker exec，口令不进 argv/stdout，--print 只输出占位符
- new-agent.sh 新增 --adopt 模式（为既有 agent 补建库/账号），与 --reset-password 互斥
- AGENTS.md.tpl 与 11 个 workspace-*/AGENTS.md 改用 db-conn.sh，禁用 root 与 docker exec 直连
- mysql-schema-sync 技能改用 MYSQL_PWD_SQL 环境变量，不再硬编码密码
- 设计文档补附录 A 第 8 条：中文键名无法注入 agent 环境的三条实测依据

scripts/agent-templates/AGENTS.md.tpl

@@ -12,8 +12,8 @@
 ## 数据库规范
 - **默认库：** `{{AGENT_ID}}` —— 这就是我自己的库
 - **账号：** `agent_{{AGENT_ID}}`
-- **密码：** 环境变量 `DB_PASSWORD_{{AGENT_NAME}}`
-- **连接：** `mysql -h 127.0.0.1 -u agent_{{AGENT_ID}} -p"${DB_PASSWORD_{{AGENT_NAME}}}" {{AGENT_ID}}`
+- **连接（推荐）：** `~/.openclaw/scripts/db-conn.sh {{AGENT_ID}}`（交互式）或 `~/.openclaw/scripts/db-conn.sh {{AGENT_ID}} --sql "select database()"`
+- **口令：** 由该脚本自动从 `~/.openclaw/.env` 读取（键名 `DB_PASSWORD_{{AGENT_NAME}}`），口令不会出现在命令行中
 - **禁止：** 使用 root、使用 `docker exec`、访问其他 agent 的库、跨库写入
 - **建表前**先确认字段与索引；**破坏性语句**（DROP / TRUNCATE / 无条件 DELETE）必须先请示