feat: add visual settings and readiness gate

docs/architecture.md

@@ -21,6 +21,8 @@ FastAPI Orchestrator
   |-- Workflow State Machine
   |-- Project Command Handler
   |-- Model Router
+  |-- Encrypted Settings Store
+  |-- Readiness Gate
   |-- Signed Upload Service
   |
 Workers
@@ -61,5 +63,6 @@ Storage
 
 - 浏览器不接触 MinIO、OCR 或模型服务的永久密钥。
 - 上传和下载通过短期预签名 URL。
-- 用户提供的模型 Key 使用 `APP_ENCRYPTION_KEY` 加密后存储。
+- 可视化设置中的密钥整体使用 Fernet 加密，接口只返回“是否已配置”，不返回原文。
+- 主加密密钥在首次启动时自动生成到私有数据卷，迁移服务器必须连同该卷一起备份。
 - GPU 和内部 Worker 只接受内网请求，并校验内部服务令牌。