fix: 4 个安全/正确性问题

1. (High) 定时任务 FOR UPDATE 无事务保护
   → BEGIN/COMMIT 事务包裹 fetch + update
2. (Medium) 审批 DB 状态未更新
   → handle_reply 更新 status/consumed_at
3. (Medium) 过期审批未清理
   → 每 30s tokio::spawn 调用 clean_expired
4. (Low) 非零退出丢弃 stdout
   → 退时 stderr 空则用 stdout 作为错误信息

src/tools/registry.rs

@@ -267,6 +267,8 @@ async fn run_skill(skill: &Skill, params: serde_json::Value, _ctx: &ExecutionCon
             } else {
                 let msg = if !stderr.is_empty() {
                     format!("退出码 {}: {}", output.status.code().unwrap_or(-1), stderr)
+                } else if !stdout.is_empty() {
+                    format!("退出码 {}: {}", output.status.code().unwrap_or(-1), stdout)
                 } else {
                     format!("退出码 {}", output.status.code().unwrap_or(-1))
                 };