refactor(db-query): 本地库改走 db-conn.sh，远程迁至 db-remote.json

- db_query.py 重写：本地库由 agents.entries 动态推导并调用 db-conn.sh（账号 agent_<id>，不用 root、脚本不接触口令）；远程改读 db-remote.json 的 password_env，SSH 隧道逻辑未改动
- db-config.json 更名为 db-config.json.deprecated-20260916（保留备查）；新建 ~/.config/clawdbot/db-remote.json（3 个 VPS 主库，仅存口令键名，无明文）
- 同步调用方文档：workspace/MEMORY.md、wellness 与 tab 技能文档、workspace-finances/SOUL.md（删除含明文口令的旧连接块）
- 注：workspace/skills/** 受 .gitignore 覆盖，db-query 技能本体的改动仅存于磁盘未入库
- 已知遗留：workspace-finances/db_config.json（含明文）被 23 个历史脚本引用，未动

workspace-tab/skills/tab/SKILL.md

@@ -9,14 +9,19 @@ description: "管理 tab 项目数据库（本地 MySQL tab 库）。新增/去
 
 ## 数据库连接
 
-连接库名「**tab**」：
+本库 `tab` 是 agent `tab` 的本地私有库（账号 `agent_tab`，唯一入口 `db-conn.sh`）：
 
 ```bash
+# 推荐（新机制唯一入口）
+~/.openclaw/scripts/db-conn.sh tab --sql "<SQL>"
+
+# 也可以走 db-query skill（内部同样走 db-conn.sh）
 python3 /home/yangxuan/.openclaw/workspace/skills/db-query/scripts/db_query.py --database "tab" --query "<SQL>"
 ```
 
-- 本地 Docker MySQL（127.0.0.1:3306），user=root，密码已配置
-- 凭据不直连，统一走 db-query 脚本
+- 本地 Docker MySQL 容器，账号 `agent_tab`（**禁止 root、禁止 docker exec 直连、禁止跨库**）
+- 口令存 `~/.openclaw/.env` 的 `DB_PASSWORD_导航页`，由 `db-conn.sh` 内部读取（不进命令行、不打印）
+- 输出为 **TSV、无表头**（`mysql -N -B`），解析时按制表符切分
 - 注意：`order` 是保留字，涉及时必须用反引号 `` `order` ``
 
 ## 表结构（三张）