fix(server): 安全加固与版本链路修复

- 微信登录改为真实 jscode2session，session_key 不再下发客户端
- 支付回调增加 HMAC 验签（X-Pay-Sign）与幂等处理，未配置密钥时拒绝回调
- 订单金额一律以服务端商品表定价，禁止客户端传入金额
- 付费许愿改为支付成功后创建，不再先许愿后付款
- 管理后台增加登录认证（ADMIN_PASSWORD + role=admin JWT + HttpOnly Cookie）
- 订单详情/取消增加本人归属校验，修复越权访问
- 版本信息改为 ldflags 注入单一链路，GoVersion 用 runtime.Version()
- 恢复 gin 默认访问日志（原 Logger 中间件输出为空）
- 加载 HTML 模板修复后台页面 500；godotenv 加载 .env.local
- CORS 支持 CORS_ORIGINS 白名单配置

server/cmd/main.go

@@ -8,9 +8,27 @@ import (
 	"github.com/gouki/lunar-server/internal/handler"
 	"github.com/gouki/lunar-server/internal/middleware"
 	"github.com/gouki/lunar-server/internal/service"
+	"github.com/joho/godotenv"
+)
+
+// 版本信息由 CI 通过 ldflags 注入：
+// -X main.Version=... -X main.BuildTime=... -X main.CommitSha=...
+var (
+	Version   = "dev"
+	BuildTime = "unknown"
+	CommitSha = "unknown"
 )
 
 func main() {
+	// 加载本地环境变量文件（生产环境由容器注入，忽略缺失；../.env.local 兼容从 server/ 目录启动）
+	_ = godotenv.Load(".env.local", "../.env.local", ".env")
+
+	// 将构建时注入的版本信息传递给 handler
+	handler.Version = Version
+	handler.BuildTime = BuildTime
+	handler.CommitSha = CommitSha
+	log.Printf("lunar-server %s (commit %s, built at %s)", Version, CommitSha, BuildTime)
+
 	// 加载配置
 	cfg := config.Load()
 
@@ -28,16 +46,16 @@ func main() {
 		gin.SetMode(gin.ReleaseMode)
 	}
 
-	// 创建路由
+	// 创建路由（gin.Default 自带访问日志与 Recovery）
 	r := gin.Default()
 
 	// 中间件
 	r.Use(middleware.CORS())
-	r.Use(middleware.Logger())
 
-	// 静态文件
+	// 静态文件与管理后台模板
 	r.Static("/static", "./web/static")
 	r.StaticFile("/", "./web/index.html")
+	r.LoadHTMLFiles("./web/index.html")
 
 	// API 路由
 	api := r.Group("/api")
@@ -87,13 +105,20 @@ func main() {
 
 	// 管理后台路由（Inertia.js）
 	admin := r.Group("/admin")
-	admin.Use(middleware.AdminAuth())
 	{
-		admin.GET("/", handler.AdminDashboard)
-		admin.GET("/users", handler.AdminUsers)
-		admin.GET("/orders", handler.AdminOrders)
-		admin.GET("/wishes", handler.AdminWishes)
-		admin.GET("/settings", handler.AdminSettings)
+		// 登录/登出接口无需认证；未配置 ADMIN_PASSWORD 时登录返回 503
+		admin.POST("/login", handler.AdminLogin)
+		admin.POST("/logout", handler.AdminLogout)
+
+		authed := admin.Group("")
+		authed.Use(middleware.AdminAuth())
+		{
+			authed.GET("/", handler.AdminDashboard)
+			authed.GET("/users", handler.AdminUsers)
+			authed.GET("/orders", handler.AdminOrders)
+			authed.GET("/wishes", handler.AdminWishes)
+			authed.GET("/settings", handler.AdminSettings)
+		}
 	}
 
 	// 启动服务器