fix(config): 让 config.json 的 URL 字段真正生效，并守住占位假值

文档一直写着「地址来自 scripts/data/config.json」，但 config.py 读 URL 只看环境变量与内置默认，
根本不读这个文件；本地那份还是改造前的旧文件，三个 URL 键是示例占位假值，还带着早已删除的
consumable_storage / attachment_dir。修法是让文档变成真的：

- 优先级：环境变量 > config.json > src/config.py 内置默认；值统一 strip；坏 JSON 或缺文件不抛，退回默认并告警
- 含 your- 的占位值按未配置处理并 WARNING：优先级一改这些假地址就会立刻生效并把登录打挂，这条守卫
  是本改动自身的安全带（老文件实测：三条 WARNING 后回落到内置默认，登录不受影响）
- 凭据只从文件读（宿主清洗子进程的敏感环境变量，靠 env 传密码不可靠）；新增 safe_config() 作为唯一
  可进日志的视图，load_config() 含明文密码
- 清死代码：SAFE_CONFIG_KEYS、attachment_dir（Web 时代遗留，全项目零引用）
- config.example.json 补五个可选 URL 键（留空=用默认）；.env.example 的示例赋值全部注释掉——
  env 优先级最高，整份复制出去会真拿 your-sso-url 去登录
- 本地 scripts/data/config.json 去掉 7 个陈旧键，只留凭据；改前备份为 config.json.bak-20261020
- 测试 tests/test_config.py 3 → 9 例：文件覆盖默认 / env 覆盖文件 / 占位忽略 / strip / 凭据不读 env /
  safe_config 无密码 / 坏文件 / 缺文件 / 返回副本 / 示例文件不得再含 your- 假值；全部指向 tmp 不碰真凭据
- 文档：操作指南写清三级优先级与占位语义，scripts/data/README 补字段表，AGENTS 增加配置优先级约束，
  方案文档 §14 记录并划掉 §13.4 对应未完成项

验证：ruff / format --check / mypy src / deptry 全绿，pytest 141 passed，mcp_smoke 25 工具；
load_config() 实测无 WARNING 且 URL 与凭据取值正确。--no-verify 提交并手跑等价检查。

docs/报销操作指南.md

@@ -24,8 +24,10 @@ last_reviewed: 2026-10-19
 | 日常报销录入 | `/expen/common/common?v=4.0` | 普通报销目标页 |
 | 差旅报销 | `/expen/travel/travel?v=4.0` | 差旅报销目标页 |
 
-地址来自 `scripts/data/config.json`，也可用环境变量覆盖（`SSO_LOGIN_URL` 等，见 `.env.example`；
-项目**不会**自动读取 `.env` 文件，需要自己导出或写进宿主的 env 配置）。
+取值优先级：**环境变量 > `scripts/data/config.json` > `src/config.py` 内置默认**。
+环境变量名是 `SSO_LOGIN_URL` / `PORTAL_URL` / `REIMBURSE_URL` / `REIMBURSE_PAGE` / `TRAVEL_PAGE`
+（见 `.env.example`；项目**不会**自动读 `.env` 文件，要自己 export 或写进宿主的 MCP env）。
+配置文件里这几项**可以不写**；写了占位假值（含 `your-`）会被当成没配并打 WARNING，不会拿去登录。
 
 ---
 
@@ -243,7 +245,8 @@ SSO 需要扫码或验证码时人工完成即可，流程会继续。每次运
 | `default_card_no` | 支付方式的「公务卡号」 |
 | `upload_pin` | 上传收件器访问码（等价 `--pin` 或环境变量 `UPLOAD_PIN`） |
 
-URL 类字段（`sso_login_url`、`portal_url`、`reimburse_url`、`reimburse_page`、`travel_page`）有内置默认值，需要才配。
+URL 类字段（`sso_login_url`、`portal_url`、`reimburse_url`、`reimburse_page`、`travel_page`）有内置默认值，
+需要才配；配了就生效（早先版本这里写了也不读，已修）。想临时改地址用环境变量更方便，不用动文件。
 凭据不放环境变量：DSH 会清洗 stdio 子进程里含 KEY/PASSWORD/SECRET/TOKEN 的变量。
 
 校验规则在 `config/validation_rules.json`；改规则要同步跑测试（骨架与规则有一致性用例）。