feat(auth): 接入 DCAuth v2 登录并完善成员管理

- 登录链路改为用户名 + 密码 + 短信验证码 + DCAuth v2 设备签名
- 迁移 014：新增 login_sms_codes / user_devices / device_challenges 与 users.phone
- 新增 /api/dcauth/authorize 与 challenge 状态轮询；旧密码登录仅放行未绑定手机号的账号
- 成员管理支持手机号绑定、设备重置、账号改名、昵称与重置密码
- 移除最后一个商户关系时软删除账号，释放用户名、手机号并撤销设备绑定

backend/internal/config/config.go

@@ -57,6 +57,16 @@ type Config struct {
 	// 生产前后端同域(Caddy 统一入口)时无需配置;仅在前后端分离部署时设置。
 	CORSAllowedOrigins []string
 
+	// 登录短信渠道（WORKER_SMS_*）。provider=mock 时只写日志，不做每日限额。
+	SMSProvider        string
+	SMSAccessKeyID     string
+	SMSAccessKeySecret string
+	SMSSignName        string
+	SMSTemplateCode    string
+	SMSCodeTTLSeconds  int
+	SMSCooldownSeconds int
+	SMSDailyLimit      int
+
 	// 乐玩开放平台配置
 	LewanBaseURL       string
 	LewanApplicationID string
@@ -96,6 +106,14 @@ func Load() *Config {
 		CallbackRetryScheduleSeconds:          getEnvIntList("CALLBACK_RETRY_SCHEDULE", nil),
 		UploadDir:                             getEnv("UPLOAD_DIR", "data/uploads"),
 		CORSAllowedOrigins:                    getEnvList("CORS_ALLOWED_ORIGINS", nil),
+		SMSProvider:                           getEnv("WORKER_SMS_PROVIDER", "mock"),
+		SMSAccessKeyID:                        getEnv("WORKER_SMS_ACCESS_KEY_ID", ""),
+		SMSAccessKeySecret:                    getEnv("WORKER_SMS_ACCESS_KEY_SECRET", ""),
+		SMSSignName:                           getEnv("WORKER_SMS_SIGN_NAME", ""),
+		SMSTemplateCode:                       getEnv("WORKER_SMS_TEMPLATE_CODE", ""),
+		SMSCodeTTLSeconds:                     getEnvInt("WORKER_SMS_CODE_TTL_SECONDS", 300),
+		SMSCooldownSeconds:                    getEnvInt("WORKER_SMS_COOLDOWN_SECONDS", 60),
+		SMSDailyLimit:                         getEnvInt("WORKER_SMS_DAILY_LIMIT", 10),
 		LewanBaseURL:                          getEnv("LEWAN_BASE_URL", "https://shop.cloudtentacles.com"),
 		LewanApplicationID:                    getEnv("LEWAN_APPLICATION_ID", ""),
 		LewanAccessKey:                        getEnv("LEWAN_ACCESS_KEY", ""),