feat(agent): 建立 agent 创建规范与数据库自动化

- scripts/new-agent.sh：建库/建号/授权/写 .env/创建 agent/渲染中文模板/自检，幂等且默认拒绝覆盖
- scripts/agent-templates/：5 个中文模板（IDENTITY/SOUL/AGENTS/MEMORY/USER）
- skills/agent-provisioning/：main 创建 agent 的唯一入口与红线（description 覆盖中英触发说法）
- workspace/：修复悬空 gitlink，将 9 个配置文档纳入版本控制（含新增创建 agent 与数据库红线）
- docs/：设计文档（含附录 A 实测发现）、实现计划（含 sudo 事故修正）
- .gitignore：workspace 白名单，避免数据/技能/媒体进入版本库

docs/agent-创建规范与自动化-设计.md

@@ -214,3 +214,22 @@ main 执行：bash ~/.openclaw/scripts/new-agent.sh reading 阅读
 
 1. `openclaw agents add` 生成的骨架文件清单与内容 —— 决定模板是**覆盖**还是**补充**
 2. `set-identity --from-identity` 对 `IDENTITY.md` 格式的具体要求（字段名/解析规则）
+
+---
+
+## 附录 A：实现期间的实测发现（2026-09-16）
+
+> 本节回答 §「附：实现时需现场确认的两点」，并记录实现中撞出的偏差与处置。
+
+| # | 发现 | 处置 |
+|---|---|---|
+| 1 | `.env` 中**没有** `MYSQL_PWD_ROOT`（真实键名是 `MYSQL_PWD`）；且计划里的 `grep` 写法在 `set -euo pipefail` 下会因无匹配**静默退出**（连报错都没有） | 脚本抽出 `read_env_var()` 并做 `MYSQL_PWD_ROOT → MYSQL_PWD` 回退 |
+| 2 | `openclaw agents add` 生成 `AGENTS/BOOTSTRAP/IDENTITY/SOUL/USER.md` **+ 一个 `.git` 仓库**，且**不生成** `MEMORY.md`/`memory/`；存量 12 个 workspace 都没有 `.git` | 脚本渲染 5 个中文模板（补齐 MEMORY/USER），并删除 `BOOTSTRAP.md`（身份已定，避免首启"起名仪式"）与 `.git`（避免嵌套仓库） |
+| 3 | `set-identity --from-identity` **只认英文标签** `- Name: xxx`，对中文模板的 `- **名称：**` 解析失败（`No identity data found`） | 设计目标（配置中存中文名）由 `--name` 兜底达成；脚本保留兜底分支。**这不是 bug，是既定偏差** |
+| 4 | 存量 `.env` 里 6 行 `DB_PASSWORD_<中文名>` 的**值与 MySQL root 密码相同** | 意味着现状下"每 agent 一账号"并未真正隔离。Task E 将生成**独立随机口令**并替换存量行 |
+| 5 | 同机 3 个 `workspace-{juaner,tab,wellness}/db` 属主为 root → 这 3 个库自 2026-08-26 起**每天备份失败** | 已 `chown` 修复；备份脚本验收明确改为**不加 `sudo`**（生产路径是 yangxuan 的 crontab；用 sudo 跑正是该事故成因） |
+| 6 | `agents delete` 会连 workspace 一起删，但留下 `~/.openclaw/agents/<id>/` 空壳 | 清理流程需手工 `rm -rf`（已写入脚本注释与计划文档） |
+| 7 | 中文名含 `&` 时，调用侧若不加引号会被 shell 解析；实测已导致一次意外创建 | 已回灌进 `agent-provisioning` skill：**必须写成 `<id> '<中文名>'`** |
+
+**审计日志格式（Task E 解析用）**：
+`[时间] id=… name=… user=… mode=create|reset-password selfcheck=… dry_run=…`