merge: 同步 origin/qyqy_develop（风控扫描、知识检索、客服 Agent、协商等）

冲突处理：均为双方各自新增，按并集保留——
- .gitignore：本地 data/logs 忽略项 + 远端 .dsh-drop/
- app/core/config.py：offsite/promotion 与 risk_scan 配置项并存
- app/service/agent/bootstrap.py：场外/推介/风控/NL2SQL/知识检索 工具与 Agent 全部注册
- app/worker/__main__.py：场外邮件 Worker 接线 + runtime 关系服务/投影清理注入并存

收尾：新增 20260911_merge_risk_heads 收敛迁移双 head；按 docs/21 生成 config/jwt/dev 开发密钥。

app/model/profile.py

@@ -0,0 +1,62 @@
+"""画像与用户事实的 ORM 映射。
+
+只映射既有表结构，**不改变任何字段**（`AGENTS.md` 第 3/4 条）。两处与常见表不同的设计在
+这里显式标注，避免后续有人按直觉写入而踩坑：
+
+1. `user_facts.id` 在库里**没有 auto_increment**，插入时必须由应用显式提供主键；
+2. `profile_snapshots.current_customer_id` 是**生成列**（`IF(is_current=1, customer_id, NULL)`），
+   与唯一键 `uk_profile_snapshot_current` 共同保证「每个客户最多一条当前快照」。生成列由数据库
+   维护，因此这里**故意不映射**——映射了反而会在写入时与之冲突。
+"""
+
+from datetime import datetime
+from typing import Any
+
+from sqlalchemy import CHAR, JSON, BigInteger, Boolean, DateTime, Float, String
+from sqlalchemy.orm import Mapped, mapped_column
+
+from app.model.base import Base
+
+
+class UserFact(Base):
+    """用户事实（user_facts）：由中期记忆提升而来的稳定事实，供画像组装读取。
+
+    表上**没有** (customer_id, fact_key) 唯一键（只有两个普通索引），因此"同一事实只保留一条"
+    必须由服务层用"先查后写"保证，不能依赖数据库约束。
+    """
+
+    __tablename__ = "user_facts"
+
+    # 注意：库中该列无 auto_increment，主键由服务层显式赋值（单调递增）
+    id: Mapped[int] = mapped_column(BigInteger, primary_key=True, autoincrement=False)
+    customer_id: Mapped[int] = mapped_column(BigInteger, nullable=False)
+    fact_key: Mapped[str] = mapped_column(String(128), nullable=False)
+    fact_value: Mapped[Any] = mapped_column(JSON, nullable=False)
+    source_portal: Mapped[str] = mapped_column(String(16), nullable=False)
+    source_episode_id: Mapped[int | None] = mapped_column(BigInteger)
+    confidence: Mapped[float] = mapped_column(Float, nullable=False, default=1.0)
+    is_critical: Mapped[bool] = mapped_column(Boolean, nullable=False, default=False)
+    created_at: Mapped[datetime] = mapped_column(DateTime, nullable=False)
+
+
+class ProfileSnapshot(Base):
+    """画像快照（profile_snapshots）：画像的版本化留痕。
+
+    存在意义是回答"当时依据的是什么"——风控复盘与合规检查都需要它，所以画像变更
+    **只新增版本、不原地覆盖**。
+    """
+
+    __tablename__ = "profile_snapshots"
+
+    id: Mapped[int] = mapped_column(BigInteger, primary_key=True, autoincrement=True)
+    profile_uuid: Mapped[str | None] = mapped_column(CHAR(36), unique=True)
+    customer_id: Mapped[int] = mapped_column(BigInteger, nullable=False)
+    version: Mapped[int] = mapped_column(BigInteger, nullable=False)
+    snapshot: Mapped[Any] = mapped_column(JSON, nullable=False)
+    generation_basis: Mapped[Any | None] = mapped_column(JSON)
+    snapshot_hash: Mapped[str | None] = mapped_column(CHAR(64))
+    is_current: Mapped[bool] = mapped_column(Boolean, nullable=False, default=False)
+    generated_at: Mapped[datetime | None] = mapped_column(DateTime)
+    created_at: Mapped[datetime] = mapped_column(DateTime, nullable=False)
+    updated_at: Mapped[datetime] = mapped_column(DateTime, nullable=False)
+    # current_customer_id 为生成列，由数据库维护，故意不映射（见模块 docstring）