feat: publish Workout Agent MCP access

[lagrangee]

变更内容

• 增加绑定单一 Athlete 的可撤销 Agent Token 和 Agent API 认证。
• 增加计划、Schedule、Session、Progress、Exercise history 的只读 Agent API/MCP 工具。
• 增加 validate -> confirm -> apply -> readback 的未来计划更新链路，包含 digest、幂等和 stale-plan 防护。
• 增加本地 stdio MCP 启动器和 Workout Agent Skill；凭证留在本机 owner-only 配置文件，不进入仓库或对话。
• 补充 API/MCP 合同、验收记录、Onboarding 文档和回归测试。
• 修复 CI 的日期漂移：fixture-only seed 验证使用运行时未来日期，保留历史 seed 和生产验收记录不变。

验证

• npm test — 62 passed
• npm run typecheck — passed
• npm run mcp:check — passed
• npm run release-check — passed
• 本地 Token-backed MCP smoke — 初始化成功、9 个工具可用、workout_get_overview 只读调用成功
• 生产 smoke — /healthz 200；未授权 Agent API 返回预期 401
• 生产 D1 migration 0005_agent_token_lookup.sql 已应用，AGENT_TOKEN_SECRET 已配置

验收边界

• 没有执行或修改生产训练计划。
• 真实计划更新仍需选择未来变更、查看完整 preview，并由 Athlete 单独确认。