feat(auth): 接入 DCAuth v2 登录并完善成员管理

- 登录链路改为用户名 + 密码 + 短信验证码 + DCAuth v2 设备签名
- 迁移 014：新增 login_sms_codes / user_devices / device_challenges 与 users.phone
- 新增 /api/dcauth/authorize 与 challenge 状态轮询；旧密码登录仅放行未绑定手机号的账号
- 成员管理支持手机号绑定、设备重置、账号改名、昵称与重置密码
- 移除最后一个商户关系时软删除账号，释放用户名、手机号并撤销设备绑定

.env.example

@@ -35,6 +35,18 @@ DELIVERY_LINK_TTL_MINUTES=0
 FULFILLMENT_PROCESSING_TIMEOUT_MINUTES=30
 FULFILLMENT_TIMEOUT_SCAN_INTERVAL_SECONDS=60
 
+# 登录短信渠道（用户名 + 密码 + 短信验证码 + DCAuth v2 设备签名）
+# mock: 只把验证码写入后端日志，不做每日限额，适合本地开发
+# aliyun: 通过 Dysmsapi RPC 签名调用真实短信
+WORKER_SMS_PROVIDER=mock
+WORKER_SMS_ACCESS_KEY_ID=
+WORKER_SMS_ACCESS_KEY_SECRET=
+WORKER_SMS_SIGN_NAME=
+WORKER_SMS_TEMPLATE_CODE=
+WORKER_SMS_CODE_TTL_SECONDS=300
+WORKER_SMS_COOLDOWN_SECONDS=60
+WORKER_SMS_DAILY_LIMIT=10
+
 # 乐玩开放平台配置
 LEWAN_BASE_URL=https://shop.cloudtentacles.com
 LEWAN_APPLICATION_ID=