fix(security): webhook fail-closed、机密字段信封加密、限流信任代理修正

三项 P0 安全修复:

1. Webhook 验签 fail-closed
   - WaffoWebhook 未配置验签材料时从「告警放行」改为 503 拒绝,
     封死伪造 order.completed 结算订单的路径
   - 通用 PaymentWebhook 从「仅 release 拒绝」收紧为默认拒绝,
     仅显式 ALLOW_UNVERIFIED_WEBHOOK=1(本地调试)放行

2. 机密字段信封加密(新增 internal/secretbox)
   - AES-256-GCM,主密钥 OPSLIC_MASTER_KEY(64 位 hex),密文带
     enc:v1: 前缀;Encrypt 幂等、历史明文原样放行
   - PaymentGatewayConfig.SecretKey/WebhookSecret 与 PeerNode.
     SharedKey 挂 GORM 钩子透明加解密,业务代码零改动;SharedKey
     列宽 128→512(密文更长)
   - 启动 fail-fast 校验主密钥;MigratePlaintext 幂等迁移存量明文;
     节点同步只含业务表,机密表为节点本地,互不影响
   - docker-compose/.env.example 补 OPSLIC_MASTER_KEY 与说明

3. 限流信任代理修正
   - 默认 SetTrustedProxies(nil) 不信任任何 X-Forwarded-For,
     封死伪造 XFF 轮换 IP 绕过按 IP 限流;反代节点用
     TRUSTED_PROXIES 指定内网 CIDR,非法配置拒绝启动

验证:go build/vet/test 全绿(含 secretbox 6 条单测);
读取路径(Waffo 私钥/webhook 密钥/互联密钥)确认全走 GORM 钩子。

部署注意:上线须配置 OPSLIC_MASTER_KEY(双节点一致)与
WAFFO_WEBHOOK_PUBLIC_KEY(未配则回调 503,属预期);香港反代
节点配 TRUSTED_PROXIES。

backend/internal/controller/order/order_controller.go

@@ -121,11 +121,13 @@ func (ctrl *OrderController) PaymentWebhook(c *gin.Context) {
 	))
 	release := strings.EqualFold(os.Getenv("GIN_MODE"), "release")
 	if secret == "" {
-		if release {
+		// fail-closed：未配置密钥一律拒绝；仅当显式声明 ALLOW_UNVERIFIED_WEBHOOK=1
+		// （本地调试）才放行，防止调试配置带进生产 // Logan.Li
+		if release || os.Getenv("ALLOW_UNVERIFIED_WEBHOOK") != "1" {
 			c.JSON(http.StatusUnauthorized, gin.H{"code": 401, "message": "未配置 webhook 密钥，已拒绝"})
 			return
 		}
-		log.Println("[安全警告] INTERNAL_WEBHOOK_SECRET / WebhookSecret 未配置，开发模式放行通用回调")
+		log.Println("[安全警告] ALLOW_UNVERIFIED_WEBHOOK=1：未验签放行通用回调（仅限本地调试）")
 	} else if provided == "" || provided != secret {
 		c.JSON(http.StatusUnauthorized, gin.H{"code": 401, "message": "invalid webhook secret"})
 		return
@@ -137,7 +139,7 @@ func (ctrl *OrderController) PaymentWebhook(c *gin.Context) {
 		return
 	}
 	if err := ctrl.svc.PaymentWebhook(req, utils.GetClientIP(c)); err != nil {
-		c.JSON(http.StatusOK, gin.H{"code": 1, "message": err.Error()})
+		c.JSON(http.StatusOK, gin.H{"code": 1, "message": utils.InternalMsg(err)})
 		return
 	}
 	c.JSON(http.StatusOK, gin.H{"code": 0, "message": "Webhook processed"})
@@ -330,8 +332,13 @@ func (ctrl *OrderController) WaffoWebhook(c *gin.Context) {
 	)
 	verifyKey := payment.LoadWaffoWebhookVerifyKey(ctrl.db)
 	if verifyKey == "" {
-		log.Println("[安全警告] 未配置 WAFFO_WEBHOOK_PUBLIC_KEY/SECRET，Waffo 回调暂未强制验签；请尽快配置")
-	} else if err := payment.VerifyWaffoWebhookSignature(verifyKey, body, sigHeader); err != nil {
+		// fail-closed：未配置验签材料时拒绝处理支付回调，而不是告警放行——
+		// 否则任何人都能伪造 order.completed 结算订单 // Logan.Li
+		log.Println("[安全] 未配置 WAFFO_WEBHOOK_PUBLIC_KEY/SECRET，Waffo 回调已拒绝处理（fail-closed）")
+		c.JSON(http.StatusServiceUnavailable, gin.H{"code": 503, "message": "webhook 验签未配置，拒绝处理"})
+		return
+	}
+	if err := payment.VerifyWaffoWebhookSignature(verifyKey, body, sigHeader); err != nil {
 		c.JSON(http.StatusUnauthorized, gin.H{"code": 401, "message": "invalid signature"})
 		return
 	}
@@ -448,7 +455,7 @@ func (ctrl *OrderController) WaffoWebhook(c *gin.Context) {
 	}
 	if err := ctrl.svc.PaymentWebhook(req, utils.GetClientIP(c)); err != nil {
 		// Still 200 so Waffo does not retry forever on business errors; log via message. // Logan.Li
-		c.JSON(http.StatusOK, gin.H{"code": 1, "message": err.Error()})
+		c.JSON(http.StatusOK, gin.H{"code": 1, "message": utils.InternalMsg(err)})
 		return
 	}
 	c.JSON(http.StatusOK, gin.H{"code": 0, "message": "Webhook processed"})
@@ -490,7 +497,7 @@ func (ctrl *OrderController) ManualGrant(c *gin.Context) {
 	username, _ := c.Get("username")
 	data, err := ctrl.svc.ManualGrant(req, userID.(uint), username.(string), utils.GetClientIP(c))
 	if err != nil {
-		c.JSON(http.StatusOK, gin.H{"code": 1, "message": err.Error()})
+		c.JSON(http.StatusOK, gin.H{"code": 1, "message": utils.InternalMsg(err)})
 		return
 	}
 	c.JSON(http.StatusOK, gin.H{"code": 0, "message": "License 发放成功", "data": data})
@@ -541,7 +548,7 @@ func (ctrl *OrderController) BatchDelete(c *gin.Context) {
 	}
 	result, err := ctrl.svc.BatchDelete(req.IDs)
 	if err != nil {
-		c.JSON(http.StatusOK, gin.H{"code": 1, "message": err.Error()})
+		c.JSON(http.StatusOK, gin.H{"code": 1, "message": utils.InternalMsg(err)})
 		return
 	}
 	utils.LogAction(ctrl.db, c, "batch_delete", "order", 0, "", "", "",