新增: 知识图谱Phase3基础设施(父⑥) — project_services+D10凭证审查+IPC+AI工具

父⑥ Phase 3(对标设计 §2.3):
- V31 迁移:project_services 表(id/project_id FK/name/service_type/endpoint/config_json/environment/remark)+ idx_project_services_project
- ProjectServiceRecord + ProjectServiceRepo(impl_repo! 宏 + insert_validated/update_full_validated/list_by_project/list_by_project_env)
- service_type 白名单(mysql/postgresql/sqlite/redis/mongodb/mq/api/other,应用层校验)
- D10 凭证审查:config_json/endpoint/remark 含 password/passwd/secret/api_key/apikey/token 拒绝(不存敏感凭证,凭证走环境变量)
- 4 IPC(add/update/remove/list_project_services,环境过滤)+ lib.rs 注册
- AI 工具 add/list_project_services(Medium/Low)+ 基线 39→41(data 25→27)+ 3 端到端测试

P2 修复(verify agent 发现):
- settings.rs project_services 白名单移除 service_type(对齐注释"不列入"+ status 收口,防 update_field 旁路绕过 validate_service_type)

df-storage 117(105+12) + df-ai 331 + 基线 41 测试全过。

crates/df-storage/src/migrations.rs

@@ -40,7 +40,10 @@ pub fn run(conn: &Connection) -> Result<()> {
     // V30 = 知识图谱 Phase 2 统一事件流(对标设计 §2.4):project_events 追加型审计表,
     //       跨实体(idea/task/workflow/knowledge/module/service/project)事件流,AI 精准检索
     //       的基础(回答"上周做了什么/这个任务为何 blocked/决策何时做出")。
-    let steps: [(i32, fn(&Connection) -> Result<()>); 30] = [
+    // V31 = 知识图谱 Phase 3 基础设施数据层(对标设计 §2.3):project_services 表,
+    //       项目基础设施配置(数据库/缓存/MQ/API 等),为 AI 执行任务时提供"这项目用了
+    //       什么数据库、Redis 在哪、有没有 MQ"的基础设施上下文。
+    let steps: [(i32, fn(&Connection) -> Result<()>); 31] = [
         (1, migrate_v1),
         (2, migrate_v2),
         (3, migrate_v3),
@@ -71,6 +74,7 @@ pub fn run(conn: &Connection) -> Result<()> {
         (28, migrate_v28),
         (29, migrate_v29),
         (30, migrate_v30),
+        (31, migrate_v31),
     ];
 
     for (version, migrate_fn) in steps {
@@ -845,6 +849,59 @@ fn migrate_v30(conn: &Connection) -> Result<()> {
     Ok(())
 }
 
+/// V31:知识图谱 Phase 3 基础设施数据层 — project_services 表
+///
+/// 对标 docs/02-架构设计/专项设计/项目知识图谱与任务队列系统-2026-06-26.md §2.3,
+/// 为「AI 执行任务时拥有项目基础设施上下文」打数据层地基。AI 知道"这项目用了什么数据库、
+/// Redis 在哪、有没有 MQ、API 在哪个地址",从而在编码/部署/排障时不必反复问人。
+///
+/// **定位**:项目基础设施配置的元数据层(对标设计 §2.3)。
+/// - `service_type`:基础设施类型(mysql/postgresql/sqlite/redis/mongodb/mq/api/other),
+///   **应用层校验**(类比 task_links.link_type / project_events.event_type,不进 DB 约束,
+///   保留扩展性,新增类型无需迁移)。
+/// - `endpoint`:连接地址(localhost:3306 / URL),纯连接信息。
+/// - `config_json`:类型相关配置 JSON 字符串(如数据库连接池参数、MQ topic 列表)。
+/// - `environment`:环境标识(development/staging/production),DEFAULT 'development'。
+///   同一服务可在不同环境各存一行(项目维度 + 环境维度组合定位)。
+///
+/// **边界(D10,对标设计 §2.3)**:⚠️ **不存敏感凭证**(密码/密钥/Token)。本表只存连接信息,
+/// 凭证走环境变量/外部密钥管理。config_json 不应含 password/secret/key 字段——此约束由
+/// 应用层(ProjectServiceRepo)在 insert/update_full 时做内容审查(检测 password/secret/key/
+/// token 子串拒绝),DB 层无 CHECK 约束(SQLite CHECK 对 JSON 内容无法表达)。
+///
+/// **元数据非运维工具**:不做连接池/健康检查/探活,仅记录"项目用了什么基础设施"这一事实,
+/// 供 AI 与 Dashboard 检索消费。运维能力是后续独立模块的职责。
+///
+/// **CREATE TABLE IF NOT EXISTS 幂等**:新库建表、老库(V31 之前的库)已有则跳过,均安全。
+/// 索引 `idx_project_services_project(project_id)` 覆盖最高频查询:按项目列其全部基础设施
+/// (Dashboard 项目视图 / AI 项目上下文注入)。
+fn migrate_v31(conn: &Connection) -> Result<()> {
+    conn.execute(
+        "CREATE TABLE IF NOT EXISTS project_services (
+            id           TEXT PRIMARY KEY,
+            project_id   TEXT NOT NULL REFERENCES projects(id),
+            name         TEXT NOT NULL,
+            service_type TEXT NOT NULL,
+            endpoint     TEXT,
+            config_json  TEXT,
+            environment  TEXT NOT NULL DEFAULT 'development',
+            remark       TEXT,
+            created_at   TEXT NOT NULL,
+            updated_at   TEXT NOT NULL
+        )",
+        [],
+    )?;
+    conn.execute(
+        "CREATE INDEX IF NOT EXISTS idx_project_services_project \
+         ON project_services(project_id)",
+        [],
+    )?;
+    tracing::info!("v31: 建 project_services 表 + 索引(基础设施数据层,知识图谱 Phase 3)");
+    conn.execute("INSERT INTO schema_version (version) VALUES (?)", [31])?;
+    tracing::info!("迁移 v31 完成");
+    Ok(())
+}
+
 /// V21 建表 SQL — 消息拆分存储 ai_messages 表
 ///
 /// 与 V9_SQL 中的 ai_messages 镜像(V9 给新库,此 const 给老库 V21 迁移用 IF NOT EXISTS)。