[Feature] 将 Agent 能力引用绑定到部署环境资源与凭据解析 #250

闭环缺口与当前依据

定义能引用模型、MCP、工具或产物目标后，还需要把逻辑引用绑定到特定部署环境的连接与权限。#199/#202 负责定义/能力包装配，#246 负责模型实例缓存，本单补“定义可发布→环境可运行”的资源解析边界。

代码/已有任务依据：

当前工厂注入一个 ChatClient，model override 仅记录未支持；这不是完整环境绑定流程。

基线 Core 76d44429fdaa6a69320e21a1cb77119d0889d792 / Extensions 495414b76a37aca4d7c1022d973a8e5b9a7e92e6。这是对现有代码与 issue 范围的设计缺口分析，不是已复现生产故障，也不代表下述能力已经实现。

建议优先级：P1，R1 定义式 Agent 的必要接线。

独立交付与验收

• 设计逻辑资源引用、环境绑定和运行解析快照，区分模型/MCP/工具连接/交付目标；同一定义可在测试与生产绑定不同已授权资源，无需修改定义源代码。
• 凭据通过应用提供的解析接口获得，只记录安全引用及必要版本，不把原始 secret 写入定义、模型上下文、运行事件或导出包；本单不实现自建 secret vault。
• 绑定解析受完整可信租户/主体范围约束，声明文件和普通 metadata 不能扩大访问；资源缺失、冲突、不支持能力必须在可确定的最早阶段给出可定位错误。
• 区分本地结构/引用校验与可选远端连通性探测，探测必须受控、只读、有超时，不以本地校验通过假称真实远端可用。
• 定义/能力与非敏感配置版本固定到运行；凭据轮换、撤销及在途连接的策略明确，不能为版本固定而绕过撤销；模型缓存复用 [Feature] 明确动态模型实例缓存、配置隔离和资源释放策略 #246。
• 验证跨环境绑定、同名跨租户拒绝、缺凭据、轮换/撤销、无效更新保留有效绑定，以及解析失败时无未授权调用；API/文件/Studio 共用流程。

已有任务边界

#199 拥有定义发布，#202 拥有能力注册与撤销，#209 拥有请求能力预检，#246 拥有模型缓存；本单仅拥有环境绑定与凭据解析，不重复上述实现。

不新增竞争的定义注册、运行日志、预算、授权或资源存储体系；独立 Agent/Workflow 不依赖 Graph/Loop，外部后端留可选适配侧。先形成必要的交接契约与可运行场景，不强制一能力一模块，不建设整套控制平面。公共 API、配置、持久数据若有破坏性变化，比较较小方案，说明收益、消费者影响、目标版本与迁移/回滚。验收区分离线 stub、真实模型、真实后端与跨实例证据，跳过不算通过。

本轮任务关系

运行定义启用由 #251 消费解析结果；参考应用 #254 负责跨阶段验收。