v0.19.0

AI 设置自动获取服务商的新模型，并保留已有配置和手动移除记录。自托管配置去除内置加密密钥和固定图片 MCP 地址，新增离线升级工具，帮助已有实例保留原有凭据。

新功能

• 每次进入「服务商与模型」页面，自动获取所有已配置服务商的模型列表，直接将新模型加入页面草稿；也可点击「刷新模型」重试。
• 保留已有模型的名称、能力、参数与默认选择。服务商获取失败时保留原目录，其他服务商继续更新；切换 Bot、离开页面或连接配置变化后，过期响应不会写入当前草稿。
• 手动删除或改名的模型 ID 按服务商记录，后续自动发现不会将其重新添加。手动添加同一 ID 可恢复；目录与排除记录在点击「保存」后持久化。
• 新增 pnpm upgrade:env 离线工具：从已核实的旧部署提交和原配置生成权限为 0600 的新配置，保留已有加密密钥，可选择恢复历史图片 MCP 地址。工具不联网、不修改输入，也不自动启用输出。

改进与修复

• 所有环境必须显式提供非空 ENCRYPTION_KEY，移除源码中的内置默认值；更新配置样例、启动校验与公开升级指南。
• 图片 MCP 使用显式配置的 PIXAI_MCP_URL，不再依赖源码中的固定生产地址。未配置时该集成保持关闭，其他功能继续运行。
• OAuth token、客户端注册、发现结果和回调状态绑定到完整 MCP 地址，防止更换服务后复用旧授权；存储写入和回调消费在事务中核对地址。
• 公开源码导出纳入升级工具与相关测试，收紧扫描清单哈希的豁免范围，并使用非私有测试数据。

使用与升级

• 无新增数据库迁移。继续保留原有数据库、文件与 Lody 持久卷，以及 Compose 项目名。
• 已有实例升级前必须保留原 ENCRYPTION_KEY。 不要重新生成密钥；否则已有 Bot/API 凭据无法解密。旧版本使用内置默认值时，先按备份与升级恢复并显式配置原值。
• 继续使用图片 MCP 的实例，需要显式设置原服务的完整 HTTPS 地址，并在升级后由 owner 重新授权一次。旧授权缺少地址绑定，不会被自动复用。更换地址前应等待已有生图任务结束。
• 未配置模型发现路径或 API Key 的服务商仍可手动添加模型。自动发现仅修改页面草稿，保存后才影响 Bot；旧版本未记录删除历史，首次升级后可能需要重新移除并保存。
• 保留 v0.18.0 的 Lody CLI 更新与模型刷新入口。其他执行机上的 CLI 仍需在对应机器更新。

验证边界

发布前核对配置与加密兼容、OAuth 地址隔离、模型草稿和过期响应行为，并执行仓库检查。升级工具与 OAuth 测试使用隔离数据；未对真实用户凭据执行密钥轮换，也未执行付费生图或真实 Telegram WebView 验收。