【架构优化】合并 UpdateUserCredentials 中四处重复的密钥清空/覆盖逻辑为 updatedSecret #767

现状问题

internal/repo/users.go 中 UsersRepo.UpdateUserCredentials（约 62 行）和 applyAgentCLICredentialUpdates 里，同一段「密钥字段更新」规则重复写了 4 遍：

if update.XxxAPIKeyClear {
    user.XxxAPIKey = ""
} else if value := strings.TrimSpace(update.XxxAPIKey); value != "" {
    user.XxxAPIKey = value
}

分别用于 CodeBuddy、Codex、Claude Code 的 API Key 以及各 Agent CLI 凭据的 APIKey。规则一致（清空优先；空白输入保持原值；否则用去掉首尾空白的新值覆盖），但散落多处，后续新增凭据或调整规则容易漏改。

重构方案

• 新增包内函数 updatedSecret(current, value string, clear bool) string，集中表达上述规则。
• 上述 4 处改为一行调用 x = updatedSecret(x, update.X, update.XClear)。
• Git Token 分支带有额外的「清掉工蜂 OAuth refresh token」副作用，保持原写法不动。

影响范围

仅 internal/repo/users.go 内部实现；对外接口、JSON 字段、行为与报错均不变。

验证方式

• 新增 updatedSecret 单元测试，覆盖清空、空白输入保持原值、去空白覆盖、清空优先于新值。
• gofmt、go vet ./internal/repo/、go test ./internal/repo/ 通过（含已有 TestAgentCLICredentialsRoundTrip、TestProviderUserCredentials）。