fix(security): webhook fail-closed、机密字段信封加密、限流信任代理修正

三项 P0 安全修复:

1. Webhook 验签 fail-closed
   - WaffoWebhook 未配置验签材料时从「告警放行」改为 503 拒绝,
     封死伪造 order.completed 结算订单的路径
   - 通用 PaymentWebhook 从「仅 release 拒绝」收紧为默认拒绝,
     仅显式 ALLOW_UNVERIFIED_WEBHOOK=1(本地调试)放行

2. 机密字段信封加密(新增 internal/secretbox)
   - AES-256-GCM,主密钥 OPSLIC_MASTER_KEY(64 位 hex),密文带
     enc:v1: 前缀;Encrypt 幂等、历史明文原样放行
   - PaymentGatewayConfig.SecretKey/WebhookSecret 与 PeerNode.
     SharedKey 挂 GORM 钩子透明加解密,业务代码零改动;SharedKey
     列宽 128→512(密文更长)
   - 启动 fail-fast 校验主密钥;MigratePlaintext 幂等迁移存量明文;
     节点同步只含业务表,机密表为节点本地,互不影响
   - docker-compose/.env.example 补 OPSLIC_MASTER_KEY 与说明

3. 限流信任代理修正
   - 默认 SetTrustedProxies(nil) 不信任任何 X-Forwarded-For,
     封死伪造 XFF 轮换 IP 绕过按 IP 限流;反代节点用
     TRUSTED_PROXIES 指定内网 CIDR,非法配置拒绝启动

验证:go build/vet/test 全绿(含 secretbox 6 条单测);
读取路径(Waffo 私钥/webhook 密钥/互联密钥)确认全走 GORM 钩子。

部署注意:上线须配置 OPSLIC_MASTER_KEY(双节点一致)与
WAFFO_WEBHOOK_PUBLIC_KEY(未配则回调 503,属预期);香港反代
节点配 TRUSTED_PROXIES。

backend/router/router.go

@@ -13,6 +13,7 @@ import (
 	"backend/internal/controller/setting"
 	synccontroller "backend/internal/controller/sync"
 	"backend/middleware"
+	"os"
 	"strings"
 
 	"github.com/gin-contrib/gzip"
@@ -61,6 +62,16 @@ func SetupRouter(db *gorm.DB, cfg *config.Config) *gin.Engine {
 	r.RedirectTrailingSlash = false
 	r.RedirectFixedPath = false
 
+	// 信任代理：默认不信任任何代理头（X-Forwarded-For 可伪造，会绕过按 IP 限流）；
+	// 经 nginx 反代的节点用 TRUSTED_PROXIES 指定其内网 CIDR，多个用逗号分隔 // Logan.Li
+	if proxies := strings.TrimSpace(os.Getenv("TRUSTED_PROXIES")); proxies != "" {
+		if err := r.SetTrustedProxies(strings.Split(proxies, ",")); err != nil {
+			panic("TRUSTED_PROXIES 配置非法: " + err.Error())
+		}
+	} else if err := r.SetTrustedProxies(nil); err != nil {
+		panic("SetTrustedProxies 失败: " + err.Error())
+	}
+
 	// Gzip 压缩中间件 // Logan.Li
 	r.Use(gzip.Gzip(gzip.DefaultCompression))