feat(control-plane): add libSQL Turso backend

scripts/TESTING_REFERENCE.md

@@ -397,3 +397,46 @@ node scripts/task164-page-options-visible-effect-smoke.js
 2. 再补一份“如何读取 smoke 结果”的轻量脚本或汇总器
 
 这样能直接解决当前最真实的痛点：`A + C`，也就是“结果更直观、测试更像真的看过页面”。
+
+## 7. 脚本纪律：不得直写 control-plane 数据库
+
+所有测试和 smoke 脚本**不得直接通过 `sqlite3` CLI、`node:sqlite`、`better-sqlite3` 或任何本地 SQLite 库写 control-plane DB**。需要写入测试数据时，必须走以下批准路径：
+
+### 7.1 通过 API seed（推荐）
+
+使用 `scripts/lib/control-plane-dev-seed.js` 提供的 helper，通过 `POST /api/dev/seed` 写入：
+
+```js
+const { setupWorkspaceAccess, seedAiRuntime } = require("./lib/control-plane-dev-seed");
+await setupWorkspaceAccess(requestContext, baseUrl, { ... });
+```
+
+该 helper 调用的是 Rust `/api/dev/seed` 端点，不直写数据库。
+初始环境（测试账号 + workspace）也可通过 `control-plane-admin init --backend ...` 准备，见 `docs/operations/control-plane-turso.md`。
+
+### 7.2 通过统一环境变量构建
+
+使用 `scripts/lib/control-plane-test-env.js` 的 `buildControlPlaneTestEnv()` 获取正确的控制面环境变量：
+
+```js
+const { buildControlPlaneTestEnv } = require("./lib/control-plane-test-env");
+const controlPlaneEnv = buildControlPlaneTestEnv(dataRoot, process.env);
+// 然后传给 spawn(cargo, args, { env: { ...controlPlaneEnv } })
+```
+
+### 7.3 例外
+
+- `scripts/lib/control-plane-dev-seed.js` 和 `scripts/lib/control-plane-test-env.js` 本身是批准 helper。
+- `scripts/desktop-hot.js`、`scripts/dev-hot.js`、`scripts/prod-build-start.js` 作为启动基础设施，设置环境变量路径是必要的。
+- `rust/crates/` 下的 Rust 代码通过 `ControlPlaneStore` trait 访问数据库是正常路径。
+- `scripts/task-control-plane-admin-libsql-roundtrip-smoke.js` 使用 `cargo run --bin control-plane-admin`，走 Rust admin CLI。
+- `sqlite` fallback、admin CLI、legacy evidence/local_search 不在脚本纪律约束范围内。
+- OpenHub 自身 SQLite 不绑定本轮 control-plane Turso 切换；OpenHub 数据库迁移独立安排，不在当前首轮范围内。
+
+### 7.4 违规后果
+
+- 直接 `sqlite3` 写 control-plane DB 会导致多个进程同时写同一个 SQLite 文件，增加 WAL 损坏和并发写入冲突的风险。
+- 直接写库的脚本在切换到 Turso/libSQL 后端后将无法运行。
+- 违反此纪律的脚本将被要求改用上述批准路径。
+
+具体约束条目见 AGENTS.md 中"脚本纪律"一节。