chore(init): 初始化解忧商行项目并完成 Phase 0 基座

deploy/caddy/Caddyfile

@@ -0,0 +1,152 @@
+{
+	email {$CADDY_EMAIL}
+	on_demand_tls {
+		ask http://backend:8080/api/distribution/check-domain
+	}
+}
+
+# 反代到后端时，用 Caddy 实测到的对端地址覆盖 X-Real-IP，
+# 防止客户端伪造 X-Forwarded-For 影响限流、审计和支付下单的 client_ip。
+(backend_proxy) {
+	header_up X-Real-IP {remote_host}
+}
+
+# 公开 API 反代片段：主站与选号网共用。
+(public_api) {
+	@api_sse {
+		path /api/chats/events /api/admin/chats/events
+	}
+
+	handle @api_sse {
+		reverse_proxy backend:8080 {
+			flush_interval -1
+			import backend_proxy
+		}
+	}
+
+	handle /api/* {
+		request_body {
+			max_size 11MB
+		}
+		reverse_proxy backend:8080 {
+			import backend_proxy
+		}
+	}
+
+	handle /r/* {
+		reverse_proxy backend:8080 {
+			import backend_proxy
+		}
+	}
+
+	@health path /health /health/ready
+	handle @health {
+		reverse_proxy backend:8080 {
+			import backend_proxy
+		}
+	}
+}
+
+# 前台商城静态资源与安全头配置（主站与所有分销站点共享）：
+# 前端通过 window.location.hostname 自动向 /api/distribution/site-info 请求分销配置。
+(storefront) {
+	encode zstd gzip
+
+	header {
+		Strict-Transport-Security "max-age=31536000"
+		X-Content-Type-Options "nosniff"
+		X-Frame-Options "DENY"
+		Referrer-Policy "strict-origin-when-cross-origin"
+		Permissions-Policy "camera=(), microphone=(), geolocation=()"
+		Content-Security-Policy "default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' https: data: blob:; font-src 'self' data:; connect-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'; form-action 'self'"
+	}
+
+	import public_api
+
+	# 平台校验文件（如 /e82f...txt）在 /m/<文件名>.txt 下也要能取到真实内容。
+	# /m 是前端路由前缀，未命中静态文件时 try_files 会回退到 index.html，
+	# 导致 /m/*.txt 返回 HTML；这里显式改写回根目录的同名文件。
+	@mobile_verify_txt path_regexp ^/m/([^/]+\.txt)$
+	handle @mobile_verify_txt {
+		rewrite * /{re.mobile_verify_txt.1}
+		root * /srv/dist
+		file_server
+	}
+
+	# 主站后台隐藏入口：storefront 片段同时服务主站和所有分销站点域名，
+	# 这里统一 404，仅主站域名在下方主站 block 用 @main_admin 放行。
+	@platform_admin path {$ADMIN_BASE_PATH:/console-jy8k3m} {$ADMIN_BASE_PATH:/console-jy8k3m}/*
+	handle @platform_admin {
+		respond 404
+	}
+
+	# 生产后台页面使用构建时配置的隐藏入口，旧 /admin 入口直接返回 404。
+	@legacy_admin path /admin /admin/*
+	handle @legacy_admin {
+		respond 404
+	}
+
+	# 其余流量返回主站/分销前台前端静态资源。
+	handle {
+		root * /srv/dist
+		try_files {path} /index.html
+		file_server
+	}
+}
+
+# www 域名统一 301 到主域名，避免重复内容与后台入口分散。
+www.{$CADDY_DOMAIN} {
+	redir https://{$CADDY_DOMAIN}{uri} permanent
+}
+
+# 解忧商行主站。
+{$CADDY_DOMAIN} {
+	# 主站后台隐藏入口只在本域名提供静态资源；分销站点域名由 storefront 片段统一 404。
+	@main_admin path {$ADMIN_BASE_PATH:/console-jy8k3m} {$ADMIN_BASE_PATH:/console-jy8k3m}/*
+	handle @main_admin {
+		root * /srv/dist
+		try_files {path} /index.html
+		file_server
+	}
+
+	import storefront
+}
+
+# 分销管理后台使用独立 React + Ant Design 静态资源，API 与主站复用 backend。
+distribution.{$CADDY_DOMAIN} {
+	encode zstd gzip
+	import public_api
+	handle {
+		root * /srv/distribution-admin
+		try_files {path} /index.html
+		file_server
+	}
+}
+
+# 选号网（可选独立站点）：仅当 CADDY_SHOW_DOMAIN 有值时由部署脚本启用 conf.d/show.caddy。
+# 未配置时 conf.d 为空，不影响主站。
+import /etc/caddy/conf.d/*.caddy
+
+# Beszel 自带登录与权限控制；单独子域避免与业务站点的 CSP、路由相互影响。
+monitor.{$CADDY_DOMAIN} {
+	encode zstd gzip
+
+	request_body {
+		max_size 10MB
+	}
+
+	reverse_proxy beszel:8090 {
+		transport http {
+			read_timeout 360s
+		}
+	}
+}
+
+# 分销站点动态域名入口：
+# 支持任意二级域名及分销商独立域名，首次访问时通过 on_demand_tls 触发后端白名单校验并自动签发 SSL 证书。
+https:// {
+	tls {
+		on_demand
+	}
+	import storefront
+}