chore(refactor): mục chung của Team Gamma — khung, hợp đồng, cổng CASAN

Sáu việc trong "mục chung" của bản phân công, làm trước khi ba nhánh tính năng
tách ra.

1. Khung 5 tầng theo đúng đường dẫn plan.md: domain/ application/
   infrastructure/ presentation/ platform/ + tests/fakes/ — 38 __init__.py.
   Trước đó là 0 file, mà mọi task của cả ba người đều ghi vào đây.
   Đã kiểm platform/ không che khuất module platform của stdlib.

2. Hợp đồng SecretStore và ConfigRepository (Protocol, chưa cài đặt) + fake
   chạy trong bộ nhớ. Danh sách thuộc tính không bịa: đếm 156 lời gọi
   ctx.config.* trong 29 file rồi lấy những cái dùng thật, xếp theo số lần.
   Cố ý bỏ config.data (36 lời gọi, nhiều nhất) — bê dict thô sang kiến trúc
   mới là bê nguyên vấn đề cũ.

3. tests/test_contracts.py — bài nghiệm thu, không phải test cho vui. Bài
   chính chạy tiến trình riêng và khẳng định dùng fake KHÔNG kéo theo
   cowork_local.config lẫn PySide6; đó là điều kiện để N2 và N3 code ngay hôm
   nay thay vì đợi bản thật ngày 23 và 26/08.

4. scripts/audit_security.py — CASAN Check 1, Gamma chủ trì (hạn 30/08). Viết
   sớm để kiểm liên tục trong lúc chuyển API key, không đợi tới ngày cổng.
   Lần chạy đầu ra 3 báo động giả (secret_in_output là tên quy tắc, api_key="x"
   là dữ liệu test) nên đã siết: ngưỡng độ dài, hằng liệt kê, hình dạng khoá
   i18n, và dấu "# casan: allow" làm lối thoát chuẩn.
   --self-test cắm 4 credential thật + 5 mẫu vô hại để chứng minh nó còn cắn
   được — một máy quét không tìm thấy gì chỉ có giá trị nếu chứng minh được nó
   biết tìm.

5. Ba check CASAN vào CI, chạy mọi PR thay vì dồn tới 30/08. Check 2 và 3
   thuộc Team Hoa và Team Duy, chưa có script — bước CI bỏ qua nếu file chưa
   tồn tại, để thêm cổng không làm đỏ CI của hai team kia.

6. docs/refactor/GammaTeam_decisions.md — hai quyết định chờ nhóm trưởng chốt:
   provider_conf() còn trả api_key hay không (ảnh hưởng 5 nơi, 3 nằm ngoài
   team), và số phận 24 checker UI sẽ vỡ khi file bị dời.

96 test xanh (90 cũ + 6 mới). CASAN Check 1: 0 credential lộ.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

infrastructure/__init__.py

@@ -0,0 +1 @@
+"""infrastructure/ — Chạm thế giới thật: file, keyring, HTTP, tiến trình. Cài đặt interface."""

infrastructure/config/config_repository.py

@@ -0,0 +1,104 @@
+"""Cấu hình ứng dụng — interface, chưa phải cài đặt.
+
+Hợp đồng số 2 của mục chung. Đây là thứ gỡ chốt lớn nhất: **156 lời gọi
+``ctx.config.*`` nằm rải trong 29 file**, nên nếu N2 và N3 phải đợi
+``ConfigRepository`` bản thật (R02-T02, hạn 23/08) thì hai người mất mấy ngày
+đầu ngồi không.
+
+Danh sách thuộc tính dưới đây không bịa ra: đếm trực tiếp chỗ đang gọi trong
+``core/``, ``ui/``, ``providers/`` và ``app.py`` rồi lấy những cái được dùng
+thật, xếp theo số lần gọi.
+
+Một chỗ cố ý KHÔNG đưa vào: ``config.data`` (36 lần gọi, nhiều nhất). Đó là
+đống dict thô — cho nó vào interface là bê nguyên vấn đề cũ sang kiến trúc mới.
+Ai đang cần ``data`` thì mở issue để bổ sung một thuộc tính có kiểu rõ ràng.
+"""
+from __future__ import annotations
+
+from pathlib import Path
+from typing import Any, Dict, Protocol, runtime_checkable
+
+
+@runtime_checkable
+class ConfigRepository(Protocol):
+    """Đọc/ghi cấu hình. Cài đặt thật dùng ``AtomicJsonFile`` (R02-T01/T02)."""
+
+    # ---- provider ------------------------------------------------------
+    @property
+    def active_provider(self) -> str:
+        """Tên provider đang chọn (24 lời gọi)."""
+        ...
+
+    def set_active_provider(self, name: str) -> None:
+        ...
+
+    def provider_conf(self, name: str | None = None) -> Dict[str, Any]:
+        """Cấu hình của một provider (9 lời gọi).
+
+        CHÚ Ý — điểm còn bỏ ngỏ, xem ``docs/refactor/GammaTeam_decisions.md``:
+        dict này còn chứa ``api_key`` hay không là quyết định chưa chốt. Có 5
+        nơi đang đọc trực tiếp, 3 trong số đó thuộc ``providers/`` của Team Duy.
+        """
+        ...
+
+    # ---- đường dẫn -----------------------------------------------------
+    @property
+    def shared_dir(self) -> str:
+        """Thư mục dùng chung cho telemetry nhiều máy (10 lời gọi)."""
+        ...
+
+    def history_dir(self) -> Path:
+        """Thư mục lịch sử chat của project đang chọn (7 lời gọi)."""
+        ...
+
+    def cowork_output_dir(self) -> Path:
+        """Thư mục Cowork ghi kết quả ra (6 lời gọi)."""
+        ...
+
+    # ---- giao diện -----------------------------------------------------
+    @property
+    def theme(self) -> str:
+        """``"dark"`` | ``"light"`` | ``"system"`` (8 lời gọi)."""
+        ...
+
+    def set_theme(self, value: str) -> None:
+        ...
+
+    @property
+    def language(self) -> str:
+        """``"vi"`` | ``"en"`` | ``"ja"`` (4 lời gọi)."""
+        ...
+
+    def set_language(self, value: str) -> None:
+        ...
+
+    # ---- các nhóm cấu hình còn lại -------------------------------------
+    @property
+    def routing(self) -> Dict[str, Any]:
+        """Cấu hình định tuyến model (7 lời gọi)."""
+        ...
+
+    @property
+    def auth(self) -> Dict[str, Any]:
+        """Cấu hình đăng nhập (6 lời gọi)."""
+        ...
+
+    @property
+    def agent_security(self) -> Dict[str, Any]:
+        """Chính sách an toàn cho agent (5 lời gọi)."""
+        ...
+
+    @property
+    def tools_disabled(self) -> list[str]:
+        """Tool bị tắt (2 lời gọi)."""
+        ...
+
+    def set_tool_enabled(self, name: str, enabled: bool) -> None:
+        ...
+
+    # ---- ghi ------------------------------------------------------------
+    def save(self) -> None:
+        """Ghi xuống đĩa. Bản thật ghi atomic — tạm + fsync + thay thế —
+        nên tắt máy giữa chừng không làm hỏng file (R02-T01).
+        """
+        ...