feat(server): 商业化支付与订单系统 + Harness 改进

- 新增商业化模块：Stripe/Binance Pay 支付、邮箱登录、订单管理
- 新增数据模型：ReportProduct, ReportEntitlement, ReportSnapshot, PaymentEvent, EmailLoginCode
- 新增 API：/api/commerce/checkout, /api/commerce/webhooks/*, /api/commerce/orders/*
- 新增管理后台：订单列表、统计图表、统一 AdminHeader 组件
- 新增中间件测试：RateLimit, Auth, CORS 共 7 个测试用例
- 新增 AGENTS.md 项目代理指令文件
- 新增 REMINDER.md 商业化功能开发规范
- 修复 JWT 解析：添加 WithValidMethods 限制 HS256
- 修复 GetPayStatus：增加用户权限校验
- 更新 .gitignore 和 README.md

server/cmd/main.go

@@ -68,9 +68,12 @@ func main() {
 	// 中间件
 	r.Use(middleware.CORS())
 
-	// 静态文件与管理后台模板
+	// 商业版前端静态文件、旧管理后台静态资源与模板
+	// 商业站点部署在根路径；后台仍通过 /admin 访问。
+	r.Static("/assets", "./frontend/assets")
+	r.GET("/index.html", func(c *gin.Context) { c.File("./frontend/index.html") })
+	r.GET("/", func(c *gin.Context) { c.File("./frontend/index.html") })
 	r.Static("/static", "./web/static")
-	r.StaticFile("/", "./web/index.html")
 	r.LoadHTMLFiles("./web/index.html")
 
 	// 内嵌图片资源（许愿树背景图等）
@@ -84,6 +87,24 @@ func main() {
 		// 版本信息（无需认证）
 		api.GET("/version", handler.GetVersion)
 
+		auth := api.Group("/auth")
+		{
+			auth.POST("/email/request", middleware.RateLimit(), handler.RequestEmailLoginCode)
+			auth.POST("/email/verify", middleware.RateLimit(), handler.VerifyEmailLoginCode)
+		}
+
+		commerce := api.Group("/commerce")
+		{
+			commerce.POST("/charts", handler.SaveChartRecord)
+			commerce.POST("/checkout", middleware.Auth(), handler.CreateReportCheckout)
+			commerce.GET("/orders/:orderNo", middleware.Auth(), handler.GetCommerceOrder)
+			commerce.GET("/reports/:reportId/access", middleware.Auth(), handler.GetReportAccess)
+			commerce.GET("/reports", middleware.Auth(), handler.ListPurchasedReports)
+			commerce.GET("/reports/recover/:accessCode", middleware.Auth(), handler.GetReportByAccessCode)
+			commerce.POST("/webhooks/stripe", handler.StripeWebhook)
+			commerce.POST("/webhooks/binance-pay", handler.BinancePayWebhook)
+		}
+
 		// 用户相关
 		user := api.Group("/user")
 		{
@@ -103,7 +124,7 @@ func main() {
 		{
 			pay.POST("/create", middleware.Auth(), handler.CreateOrder)
 			pay.POST("/notify", handler.PayNotify)
-			pay.GET("/status/:orderId", handler.GetPayStatus)
+			pay.GET("/status/:orderId", middleware.Auth(), handler.GetPayStatus)
 		}
 
 		// 订单相关
@@ -148,6 +169,7 @@ func main() {
 			authed.GET("/", handler.AdminDashboard)
 			authed.GET("/users", handler.AdminUsers)
 			authed.GET("/orders", handler.AdminOrders)
+			authed.GET("/charts", handler.AdminCharts)
 			authed.GET("/wishes", handler.AdminWishes)
 			authed.GET("/wiki", handler.AdminWiki)
 			authed.GET("/settings", handler.AdminSettings)
@@ -159,6 +181,9 @@ func main() {
 			authed.DELETE("/api/wiki/entries/:id", handler.AdminWikiEntryDelete)
 			authed.GET("/api/wiki/sync-status", handler.AdminWikiSyncStatus)
 			authed.POST("/api/wiki/sync", handler.AdminWikiSyncTrigger)
+			authed.GET("/api/orders", handler.AdminCommerceOrders)
+			authed.GET("/api/orders/stats", handler.AdminCommerceStats)
+			authed.GET("/api/charts", handler.AdminChartRecords)
 			// 节气详情同步（百度百科，独立于维基）
 			authed.GET("/api/wiki/term-sync-status", handler.AdminTermSyncStatus)
 			authed.POST("/api/wiki/term-sync", handler.AdminTermSyncTrigger)