fix(server): 安全加固与版本链路修复

- 微信登录改为真实 jscode2session，session_key 不再下发客户端
- 支付回调增加 HMAC 验签（X-Pay-Sign）与幂等处理，未配置密钥时拒绝回调
- 订单金额一律以服务端商品表定价，禁止客户端传入金额
- 付费许愿改为支付成功后创建，不再先许愿后付款
- 管理后台增加登录认证（ADMIN_PASSWORD + role=admin JWT + HttpOnly Cookie）
- 订单详情/取消增加本人归属校验，修复越权访问
- 版本信息改为 ldflags 注入单一链路，GoVersion 用 runtime.Version()
- 恢复 gin 默认访问日志（原 Logger 中间件输出为空）
- 加载 HTML 模板修复后台页面 500；godotenv 加载 .env.local
- CORS 支持 CORS_ORIGINS 白名单配置

server/internal/handler/order.go

@@ -43,14 +43,16 @@ func GetOrderList(c *gin.Context) {
 	})
 }
 
-// GetOrderDetail 获取订单详情
+// GetOrderDetail 获取订单详情（仅限本人订单）
 func GetOrderDetail(c *gin.Context) {
+	userID, _ := c.Get("userID")
 	id := c.Param("id")
 	orderID, _ := strconv.Atoi(id)
 
 	orderService := service.NewOrderService()
 	order, err := orderService.GetOrderByID(uint(orderID))
-	if err != nil {
+	if err != nil || order.UserID != userID.(uint) {
+		// 不存在与无权访问统一返回 404，避免枚举他人订单
 		c.JSON(http.StatusNotFound, gin.H{
 			"code": 404,
 			"msg":  "订单不存在",
@@ -65,16 +67,17 @@ func GetOrderDetail(c *gin.Context) {
 	})
 }
 
-// CancelOrder 取消订单
+// CancelOrder 取消订单（仅限本人待支付订单）
 func CancelOrder(c *gin.Context) {
+	userID, _ := c.Get("userID")
 	id := c.Param("id")
 	orderID, _ := strconv.Atoi(id)
 
 	orderService := service.NewOrderService()
-	if err := orderService.CancelOrder(uint(orderID)); err != nil {
-		c.JSON(http.StatusInternalServerError, gin.H{
-			"code": 500,
-			"msg":  "取消订单失败",
+	if err := orderService.CancelOrder(userID.(uint), uint(orderID)); err != nil {
+		c.JSON(http.StatusBadRequest, gin.H{
+			"code": 400,
+			"msg":  err.Error(),
 		})
 		return
 	}