记录调试输出敏感配置遗留问题

补充 AppConfig 与 AppState 调试输出的既有风险、审查归属和后续修复边界。

docs/project-memory/todos/【已知问题】AppConfig与AppState调试输出敏感配置泄漏-Master遗留-2026-08-07.md

@@ -0,0 +1,18 @@
+# AppConfig 与 AppState 调试输出敏感配置泄漏：Master 遗留问题
+
+状态：已确认的 `master` 既有安全债务；不在 `feat/sound_opt` 分支修复。
+
+## 事实
+
+- `AppConfig` 在 `master` 已派生 `Debug`，并持有 JWT、内部 token、OSS、微信、LLM、VectorEngine 等敏感配置。
+- `AppStateInner` 也派生 `Debug` 且直接持有完整 `AppConfig`，因此完整 Debug 输出可能递归暴露敏感值。
+- T3 仅新增 `elevenlabs_api_key` 到该既有泄漏面，不是该问题的根因。
+- 当前未发现生产代码主动打印完整 `AppConfig` 或 `AppState`，风险等级维持 P2。
+
+## 审查归属
+
+后续 SFX V2 / `feat/sound_opt` 阶段审查将此项视为已知 master 遗留问题，不再作为本分支或 T3–T5 的新增缺陷重复报告。只有用户发起专项安全审查，或该共享层修复后发生回归时，才重新核对。
+
+## 后续修复建议
+
+在独立的 master 安全维护工作中，为 `AppConfig`、`AppState` 及其嵌套诊断对象统一实现脱敏 Debug（或 secret wrapper），并以唯一哨兵值回归测试确保日志、错误和 tracing 输出不含原始秘密。