feat: 增加 Codex Secret dry-run 工具

docs/reference/spec-v01-secret-distribution.md

@@ -106,6 +106,25 @@ runner/backend Pod
 
 Secret 创建和轮换不由 source branch 自动生成；source branch 只声明需要哪个 SecretRef。后续如果接入 External Secrets、Vault、SealedSecrets 或 SOPS，必须新增或更新本 spec，明确 controller、source of truth、rotation 和 redaction 规则。
 
+## Codex Secret dry-run 工具
+
+`v0.1` 提供只读 CLI 工具，用 operator 本地 `~/.codex/auth.json` 与 `~/.codex/config.toml` 构造 Kubernetes Secret 创建计划：
+
+```bash
+bun scripts/agentrun-cli.ts secrets codex render --dry-run
+```
+
+可选参数：
+
+- `--codex-home <dir>`：覆盖默认 `~/.codex` 输入目录。
+- `--auth-file <path>` / `--config-file <path>`：分别覆盖输入文件路径。
+- `--namespace <name>`：默认 `agentrun-v01`。
+- `--secret-name <name>`：默认 `agentrun-v01-provider-codex`。
+
+输出必须是 JSON，并且只包含 `namespace`、`secretName`、`keys`、每个输入文件的 `bytes`、`sha256`/`contentHash`、整体 hash、redaction 状态、apply 命令形状和 Secret manifest 摘要。输出不得包含 Secret value、`auth.json` 明文、`config.toml` 明文、base64 `data` 字段或可直接恢复 credential 的内容。工具只支持 `--dry-run`；不得执行 `kubectl apply`。
+
+失败必须结构化返回 `failureKind`：缺文件、不可读文件或空 credential 归类为 `secret-unavailable`；非法 JSON/TOML 归类为 `schema-invalid`。
+
 ## 日志与事件 Redaction
 
 - event、trace、日志、CLI 输出、health 和 diagnostics 不得打印 Secret 值。
@@ -133,6 +152,7 @@ Secret 创建和轮换不由 source branch 自动生成；source branch 只声
 | --- | --- | --- |
 | Secret 分发规格 | 已定义 | 本文为 v0.1 provider credential 分发权威。 |
 | Kubernetes SecretRef 注入 | 未实现 | 需要后续 GitOps/runtime 实现。 |
+| Codex Secret dry-run 工具 | 已实现 | `bun scripts/agentrun-cli.ts secrets codex render --dry-run` 只输出 Secret 创建计划、hash 和 redacted manifest 摘要，不执行 apply。 |
 | Codex auth/config file projection | 未实现 | 需要后续 runner/backend adapter 实现，测试来源为 `~/.codex/auth.json` 和 `~/.codex/config.toml`。 |
-| redaction 最小规则 | 已定义 | 需要后续代码实现和测试。 |
+| redaction 最小规则 | 已定义/部分实现 | Secret dry-run 工具和自测试已覆盖不输出 `auth.json`、`config.toml` 明文；runtime 日志/event redaction 仍需随 runner/backend 补齐。 |
 | 外部 secret manager | 未采用 | 如需 Vault/ExternalSecrets/SOPS，后续单独更新规格。 |