refactor(db-query): 本地库改走 db-conn.sh，远程迁至 db-remote.json

- db_query.py 重写：本地库由 agents.entries 动态推导并调用 db-conn.sh（账号 agent_<id>，不用 root、脚本不接触口令）；远程改读 db-remote.json 的 password_env，SSH 隧道逻辑未改动
- db-config.json 更名为 db-config.json.deprecated-20260916（保留备查）；新建 ~/.config/clawdbot/db-remote.json（3 个 VPS 主库，仅存口令键名，无明文）
- 同步调用方文档：workspace/MEMORY.md、wellness 与 tab 技能文档、workspace-finances/SOUL.md（删除含明文口令的旧连接块）
- 注：workspace/skills/** 受 .gitignore 覆盖，db-query 技能本体的改动仅存于磁盘未入库
- 已知遗留：workspace-finances/db_config.json（含明文）被 23 个历史脚本引用，未动

workspace-finances/SOUL.md

@@ -32,12 +32,11 @@
 | 应急金(月应储蓄/月开销) | 3-6个月 | <1个月 |
 | 投资占比(投资/总资产) | 20-40% | - |
 
-## 数据库连接
-- 配置文件: `db_config.json`（chmod 600，仅本用户可读）
-- host: 127.0.0.1
-- port: 3306
-- user: root
-- password: 5gynj20J
-- database: finances
-- 读取方式: Python中 `json.load(open('db_config.json'))`
-- **禁止**在Python代码、SQL脚本中硬编码密码
+## 数据库连接（2026-09-16 迁移到新机制）
+
+- **库名 = agent id**：`finances`；账号固定 `agent_finances`
+- **唯一入口**：`~/.openclaw/scripts/db-conn.sh finances [--sql "<SQL>"]`
+- 口令存 `~/.openclaw/.env` 的 `DB_PASSWORD_理财`，由脚本内部读取（**不进命令行、不打印**）
+- **禁止**：使用 root、`docker exec` 直连、访问其它 agent 的库
+- 历史遗留：工作区里 2026-07/08 的一次性导入脚本仍读旧的 `db_config.json`（含 root 明文口令），
+  **不要照抄这种写法**；新脚本一律走 `db-conn.sh`