feat: 对齐 Waffo 包年/永久结账与客户端席位 API

同步 OpsXShell 档位定价与 Waffo 商品映射，补齐 checkout/webhook/设备列表契约，便于桌面端购买与满席释放。

Co-authored-by: Cursor <cursoragent@cursor.com>

.env.example

@@ -36,6 +36,25 @@ DB_NAME=db.sqlite3
 # CORS 配置（多个用逗号分隔）
 # CORS_ORIGINS=http://localhost:5181,http://127.0.0.1:5181
 
+# ============================================
+# Waffo 支付（OpsXShell 收银台 · pancake.waffo.ai）
+# ============================================
+# 店铺: https://pancake.waffo.ai/store/opsxshell-pwsi6m4n
+# 包年订阅: PROD_2WmkUVoYWt0NN8OVEyC6n3 (type=subscription)
+# 永久买断: PROD_0pcnzzT4nalEkkcdyIUoD5 (type=onetime)
+# 勿设置单一 WAFFO_CHECKOUT_URL，否则无法按档位分流商品
+WAFFO_STORE_SLUG=opsxshell-pwsi6m4n
+WAFFO_PRODUCT_ID=PROD_0pcnzzT4nalEkkcdyIUoD5
+WAFFO_PRODUCT_ID_YEARLY=PROD_2WmkUVoYWt0NN8OVEyC6n3
+WAFFO_PRODUCT_ID_PERPETUAL=PROD_0pcnzzT4nalEkkcdyIUoD5
+WAFFO_CURRENCY=CNY
+# test | live（test 时自动附加 test=true）
+WAFFO_ENVIRONMENT=test
+# 支付成功回跳（桌面端 deep link；CreateOrder/Checkout 的 return_url 可覆盖）
+SUCCESS_URL=opsxshell://pro/activated
+# PEM 私钥仅保存在服务端，切勿下发到客户端或写入仓库
+# WAFFO_PRIVATE_KEY_PEM=
+
 # ============================================
 # 前端配置 (frontend)
 # ============================================