fix(server): 安全加固与版本链路修复

- 微信登录改为真实 jscode2session，session_key 不再下发客户端
- 支付回调增加 HMAC 验签（X-Pay-Sign）与幂等处理，未配置密钥时拒绝回调
- 订单金额一律以服务端商品表定价，禁止客户端传入金额
- 付费许愿改为支付成功后创建，不再先许愿后付款
- 管理后台增加登录认证（ADMIN_PASSWORD + role=admin JWT + HttpOnly Cookie）
- 订单详情/取消增加本人归属校验，修复越权访问
- 版本信息改为 ldflags 注入单一链路，GoVersion 用 runtime.Version()
- 恢复 gin 默认访问日志（原 Logger 中间件输出为空）
- 加载 HTML 模板修复后台页面 500；godotenv 加载 .env.local
- CORS 支持 CORS_ORIGINS 白名单配置

server/internal/config/config.go

@@ -10,11 +10,13 @@ type Config struct {
 	Redis    RedisConfig
 	JWT      JWTConfig
 	Wechat   WechatConfig
+	Admin    AdminConfig
 }
 
 type ServerConfig struct {
-	Port string
-	Env  string
+	Port        string
+	Env         string
+	CORSOrigins string
 }
 
 type DatabaseConfig struct {
@@ -43,11 +45,18 @@ type WechatConfig struct {
 	MchID     string
 }
 
+// AdminConfig 管理后台配置
+type AdminConfig struct {
+	// Password 管理员登录密码；为空时禁用后台登录
+	Password string
+}
+
 func Load() *Config {
 	return &Config{
 		Server: ServerConfig{
-			Port: getEnv("SERVER_PORT", "8080"),
-			Env:  getEnv("SERVER_ENV", "development"),
+			Port:        getEnv("SERVER_PORT", "8080"),
+			Env:         getEnv("SERVER_ENV", "development"),
+			CORSOrigins: getEnv("CORS_ORIGINS", ""),
 		},
 		Database: DatabaseConfig{
 			Host:     getEnv("DB_HOST", "localhost"),
@@ -71,6 +80,9 @@ func Load() *Config {
 			PayKey:    getEnv("WECHAT_PAY_APIKEY", ""),
 			MchID:     getEnv("WECHAT_PAY_MCHID", ""),
 		},
+		Admin: AdminConfig{
+			Password: getEnv("ADMIN_PASSWORD", ""),
+		},
 	}
 }