feat(caddy): 支持分销站点独立域名 On-Demand TLS 自动签发 SSL 证书

- 后端新增 GET /api/distribution/check-domain 作为 Caddy on_demand_tls ask 白名单端点
- 补充 CheckDomain 相关场景自动化测试
- Caddyfile 启用 on_demand_tls 并配置动态分销前台入口

deploy/caddy/Caddyfile

@@ -1,12 +1,14 @@
 {
 	email {$CADDY_EMAIL}
+	on_demand_tls {
+		ask http://backend:8080/api/distribution/check-domain
+	}
 }
 
 # 反代到后端时，用 Caddy 实测到的对端地址覆盖 X-Real-IP，
 # 防止客户端伪造 X-Forwarded-For 影响限流、审计和支付下单的 client_ip。
 (backend_proxy) {
 	header_up X-Real-IP {remote_host}
-	header_up X-Forwarded-Proto {scheme}
 }
 
 # 公开 API 反代片段：主站与选号网共用。
@@ -45,9 +47,9 @@
 	}
 }
 
-# 主站与过渡子域名共享同一套配置：域名迁移期间新旧域名同时可访问，
-# 避免 DNS 缓存未生效导致部分用户打不开。迁移完成后可移除 h5.{$CADDY_DOMAIN}。
-{$CADDY_DOMAIN}, h5.{$CADDY_DOMAIN} {
+# 前台商城静态资源与安全头配置（主站与所有分销站点共享）：
+# 前端通过 window.location.hostname 自动向 /api/distribution/site-info 请求分销配置。
+(storefront) {
 	encode zstd gzip
 
 	header {
@@ -67,7 +69,7 @@
 		respond 404
 	}
 
-	# 其余流量返回主站前端静态资源。
+	# 其余流量返回主站/分销前台前端静态资源。
 	handle {
 		root * /srv/dist
 		try_files {path} /index.html
@@ -75,6 +77,12 @@
 	}
 }
 
+# 主站与过渡子域名共享同一套配置：域名迁移期间新旧域名同时可访问，
+# 避免 DNS 缓存未生效导致部分用户打不开。迁移完成后可移除 h5.{$CADDY_DOMAIN}。
+{$CADDY_DOMAIN}, h5.{$CADDY_DOMAIN} {
+	import storefront
+}
+
 # 分销管理后台使用独立 React + Ant Design 静态资源，API 与主站复用 backend。
 distribution.{$CADDY_DOMAIN} {
 	encode zstd gzip
@@ -107,5 +115,14 @@ monitor.{$CADDY_DOMAIN} {
 
 # gitea 自托管代码库
 gitea.hao858.com {
-    reverse_proxy gitea:3000
+	reverse_proxy gitea:3000
+}
+
+# 分销站点动态域名入口：
+# 支持任意二级域名及分销商独立域名，首次访问时通过 on_demand_tls 触发后端白名单校验并自动签发 SSL 证书。
+https:// {
+	tls {
+		on_demand
+	}
+	import storefront
 }