fix: 按评审报告止血支付漏洞并加固授权链路

废除浏览器回跳自助结算，通用 webhook 强制密钥鉴权，Waffo 支持验签与未知事件忽略；重构订单状态机/激活占座/SQLite WAL，并补备份、readyz、限流与前端导出/登录页安全修复。

Co-authored-by: Cursor <cursoragent@cursor.com>

.env.example

@@ -77,6 +77,11 @@ SUCCESS_URL=https://l123.91ai.io/api/v1/purchase/success
 # Dashboard → Settings → Webhooks：
 # URL: https://你的域名/api/v1/webhooks/waffo  （尽量 HTTPS；Raw JSON；事件 order.completed）
 # 当前公网: https://l123.91ai.io/api/v1/webhooks/waffo
+# 验签公钥（RSA PEM）或共享密钥；配置后强制校验 X-Waffo-Signature
+# WAFFO_WEBHOOK_PUBLIC_KEY=
+# WAFFO_WEBHOOK_SECRET=
+# 通用回调 /api/v1/webhooks/payment 在 release 下必须配置，并通过 X-Webhook-Secret 传入
+# INTERNAL_WEBHOOK_SECRET=
 
 # ============================================
 # Docker Compose