Keychain
憑證如何存放在 OS keychain，以及工具如何讀取。
憑證（provider API keys、OAuth tokens）透過 go-pkg/filesystem/keychain 儲存，service 名為 agenvoy：
| 平台 | 後端 |
|---|---|
| macOS | security CLI |
| Linux / 其他 | secret-tool（libsecret），失敗時回退到純文字 KEY=value 檔 ~/.config/agenvoy/.secrets |
找不到已儲存的值時，改用同名環境變數。Service 名稱 "agenvoy" 為固定值，不得變更。
過去供 script 工具經 HTTP 取值的 GET /v1/key?key=<name> 查詢端點（僅限 loopback）已於 v1.0.23 移除。Script 工具現在於行程內直接讀 keychain，順序相同：macOS 用 security find-generic-password -s agenvoy -a <KEY> -w，Linux 用 secret-tool lookup service agenvoy account <KEY> 再查 ~/.config/agenvoy/.secrets，最後才是環境變數。DELETE /v1/key、GET /v1/keys 與 POST /v1/keys 仍保留，且受 localhostOnly() 保護。