另外 zcode 保存第三方 api 好像是这样保存的 ZCode 把用户的各模型厂商 API Key （含 OAuth token ）用 AES-256-GCM 加密后落盘。但默认情况下加密密钥不是任何秘密，而是由平台名 + 家目录路径 + OS 用户名拼接的字符串做一次 SHA-256： key = sha256("zcode-credential-fallback:darwin:/Users/<用户名>:<用户名>")