feat(agent-db): 引入 db-conn.sh 统一数据库入口，各 agent 改用专用账号

- 新增 scripts/db-conn.sh：按 agent id 反查中文名，读 .env 后经 MYSQL_PWD 转发给 docker exec，口令不进 argv/stdout，--print 只输出占位符
- new-agent.sh 新增 --adopt 模式（为既有 agent 补建库/账号），与 --reset-password 互斥
- AGENTS.md.tpl 与 11 个 workspace-*/AGENTS.md 改用 db-conn.sh，禁用 root 与 docker exec 直连
- mysql-schema-sync 技能改用 MYSQL_PWD_SQL 环境变量，不再硬编码密码
- 设计文档补附录 A 第 8 条：中文键名无法注入 agent 环境的三条实测依据

workspace-resume/AGENTS.md

@@ -184,11 +184,18 @@
   - `混合方案指南.md` - 混合方案说明
 - **命名格式**：`YYYY-Www-周报.md`（如 `2026-W31-周报.md`）
 
+## 数据库规范（专用账号）
+
+- 默认库：`resume`；账号：`agent_resume`
+- 连接（推荐）：`~/.openclaw/scripts/db-conn.sh resume`（交互式）或 `~/.openclaw/scripts/db-conn.sh resume --sql "select database()"`
+- 该脚本自动从 `~/.openclaw/.env` 读取本 agent 的专属口令（键名 `DB_PASSWORD_简历`），口令不会出现在命令行中
+- 禁止使用 root、禁止 docker exec、禁止访问其他 agent 的库
+
 ## MySQL 周报数据中枢（2026-08-27 建立）
 
 方案 A：**SQLite 做本地归档，MySQL resume 库做统一数据中枢**（供月度/年度总结、OKR 分析）。
 
-- **MySQL 连接**：`127.0.0.1:3306`，用户 `root`，库 `resume`，密码存 `.env` 键 `MYSQL_PWD`
+- **MySQL 连接**：`127.0.0.1:3306`，用户 `agent_resume`，库 `resume`；连接方式统一用 `~/.openclaw/scripts/db-conn.sh resume`（口令由脚本从 `~/.openclaw/.env` 读取，不进命令行）
 - **三张周报表**（在 `resume` 库）:
   - `weekly_reports` — 主表（year、week_number、project、start_date/end_date、main_task、has_problems）
   - `weekly_report_daily` — 每日明细（report_id、day_of_week、work_date、work_items）