Feat/redis mysql account store

[runyunzhou]

Description

为 Account Store 新增 mysql 与 redis_mysql 两个分布式 Provider，使 Account / User / Group / API Key 的持久化可以从单机 File（AGFS JSON）后端平滑切换到以 MySQL 为权威存储、Redis 为共享认证缓存的多副本部署形态。本 PR 基于已合入 main 的可插拔 AccountStore 抽象（#5933），只新增 Provider 实现与装配，不改动既有 File 后端的行为语义。

Human Involvement

• A human participated in the implementation or review loop
• This PR was generated entirely by AI agents without human participation in the loop

Related Issue

Type of Change

• Bug fix (non-breaking change that fixes an issue)
• New feature (non-breaking change that adds functionality)
• Breaking change (fix or feature that would cause existing functionality to not work as expected)
• Documentation update
• Refactoring (no functional changes)
• Performance improvement
• Test update

Changes Made

• MySQL Provider（权威存储）：以关系表落地 Account / User / Group / Credential，使用内部 account_pk / user_pk 主键，业务 ID 作唯一键；外键约束保证 Group/User 不跨 Account，生成列唯一键保证每个 User 最多一个活动 Key。Account 行用 FOR UPDATE 串行化角色变更、成员增删、删除 fence 与 Key 轮换，过滤/分页/计数全部下推 SQL；所有表与查询均带必填的 resource_id 分区键。API Key 默认存版本化 SHA-256 摘要并建独立摘要索引做常量代价查找。
• Redis-MySQL Provider（认证缓存）：MySQL 保持权威，Redis 缓存 API binding、Account revision、User principal；缓存 miss 走 Account 范围 Redis 租约 + 二次检查 + Lua owner/revision 写入，命中时校验 account_pk/user_pk/credential_id/revision，避免旧 Key 与同名重建 User 串联；MySQL 增加独立 auth_revision 字段覆盖认证语义变化；首次创建凭据后主动失效 Redis 负缓存。
• Keyless 建号兼容：实现 main Refactor/account store provider #5933 新增的抽象方法 create_account（无 Key 建号，服务于 trusted keyless 身份），在 MySQL/Redis Provider 中补齐，保证两者可实例化并与 File Provider 的 keyless-admin 创建语义一致。
• 装配与配置：store_assembly 硬编码 file / mysql / redis_mysql 分支装配；新增 config.py Provider 参数透传；新增 SQL 初始化脚本与变更模板（sql/init.sql、sql/changes/0000_template.sql）；pyproject.toml / uv.lock 增加 SQLAlchemy / Redis 等依赖（并约束兼容的 SQLAlchemy 版本）。
• 文档：更新中英文 01-configuration.md，说明 account_store.provider 新增 mysql / redis_mysql 取值及 Redis 缓存语义。

Redis 缓存一致性语义

• 架构定位：MySQL 是唯一权威存储，Redis 只作认证/身份读缓存，绝不进入写链路前置依赖。写操作先提交 MySQL，提交成功后再 best-effort 失效相关缓存 key。
• 正常业务流程 = 失效即一致（读己之写）：任意成功返回的写操作（建号 / 建用户 / 改角色 / 轮换或撤销 Key / 组成员变更 / 删除 Account/User）在 MySQL 提交后会同步失效对应缓存；因此调用方拿到成功响应后，后续请求读到的即是最新数据，不依赖 TTL。缓存回填走「读 miss 加 Account 范围 Redis 租约 → Lua 二次检查 → 携带 MySQL revision 条件写」，并校验 account_pk/user_pk/credential_id/revision，避免旧 Key 与同名重建 User 串联、以及旧 reader 把过期值写回。
• 最终一致（TTL 收敛）只在异常兜底时触发：仅当 MySQL 已提交但缓存失效这一步没能落地时，旧值才交由固定 TTL（默认 60s，可配 redis.ttl_seconds）收敛。典型场景：
  • Redis 不可用 / 网络分区：失效命令发不出去或超时（此时 MySQL 写入照常成功，不被 Redis 故障阻塞）；
  • 节点崩溃 / 非优雅退出：进程在「MySQL 已提交」与「缓存已失效」之间中断（优雅重启会等读写请求完成，正常不产生该窗口）；
  • 并发读写竞态下的锁租约到期等极低概率边界：条件写用 lock token + revision 比较拦截陈旧回填，极端下最多短暂穿透到 MySQL，不会固化脏缓存。
• 可用性取舍：明确接受「Redis 故障时旧鉴权最多残留一个 TTL 周期」，换取 Redis 故障时系统仍可正常读写；Redis 恢复后缓存自然重建。

Testing

uv run ruff check openviking/server/account_stores/ tests/server/test_redis_mysql_account_store.py tests/server/test_account_services.py tests/server/test_store_assembly.py
uv run python -m pytest tests/server/test_redis_mysql_account_store.py tests/server/test_account_services.py tests/server/test_store_assembly.py tests/server/test_api_key_manager.py tests/server/test_auth.py tests/server/test_identity_auth.py tests/server/test_admin_api.py tests/server/test_bot_studio.py -q

• 结果：427 passed, 1 skipped（跳过项为需要真实 OV_TEST_MYSQL 实例的 MySQL 集成测试）

• Ruff：All checks passed

• git diff --check：通过

• I have added tests that prove my fix is effective or that my feature works

• New and existing unit tests pass locally with my changes

• I have tested this on the following platforms:

  • Linux
  • macOS
  • Windows

Checklist

• My code follows the project's coding style
• I have performed a self-review of my code
• I have commented my code, particularly in hard-to-understand areas
• I have made corresponding changes to the documentation
• My changes generate no new warnings
• Any dependent changes have been merged and published

Screenshots (if applicable)

Additional Notes

• mysql / redis_mysql 为生产部署形态，默认 Provider 仍为 file，不影响既有单机部署。
• MySQL 不在应用启动时自动建表，表结构变更需显式执行 sql/init.sql 及后续迁移脚本（生产环境避免隐式 DDL）。

[qin-ctx]

这个方向有合入价值：MySQL 统一持久化账号和凭据，Redis 为多副本共享认证缓存。当前需要先解决 trusted 自动注册的入口校验与落库限制不一致的问题；一个长用户 ID 会让同批正常身份持续无法注册。

本次提交 1 条阻塞问题和 1 条非阻塞存储设计意见，具体见行级评论。

[qin-ctx]

上轮指出的 trusted 注册阻塞和旧凭据持续增长已经修复。MySQL 持久化账号、Redis 提供共享认证缓存的方向有合入价值。

本轮两条阻塞问题均来自上轮评审后新增的 Redis 拓扑支持提交（d31f49d）：standalone TLS 连接在初始化时失败，以及新增测试使标准测试环境在收集阶段失败。具体见行内评论，需要在合并前解决。