合并 main 分支并融合订单列表最小化与 SQL 治理

- Auth/权限中间件取 main 演进版（错误细分、token 来源），保留 dev 的用户 cookie 与登出撤销语义
- 后台订单列表：融合 main 的首页免 COUNT 优化与关键词索引路由，保留 dev 的最小化 AdminOrderListItemDTO（结账明细仍由详情接口返回，同步调整对应集成测试）
- 保留 dev 的 token_version 冻结/解冻递增与 main 的状态变化判断及通知
- 前端：保留 dev 登出接口与 main 的 fetchMe silent 参数、SSE 登录跳转；后台订单表按 dev 最小化 DTO 移除号主到手列

README.md

@@ -36,7 +36,7 @@ go run github.com/pressly/goose/v3/cmd/goose@v3.27.1 \
 go run ./cmd/api
 
 cd ../frontend
-npm install
+npm ci
 npm run dev
 ```
 
@@ -50,6 +50,24 @@ npm run dev
 
 `./scripts/deploy-prod.sh` 在构建镜像前会自动调用 `check.sh`（本地有 `go` 和 `npm` 时）。检查未通过会中止部署；确需跳过用 `--skip-check`（不推荐）。`check.sh` 也支持 `--skip-backend`、`--skip-frontend`、`--skip-tests` 做局部调试。
 
+本地门禁由 `scripts/check.sh` 统一执行；后端覆盖率基线由 `scripts/check-backend-coverage.sh` 维护。需要验证完整租赁链路时，先启动本地 MySQL 8.4，再设置 `HFB_E2E_DSN` 运行 `go test ./internal/e2e`。
+
+服务探针：`GET /health` 仅表示进程存活；`GET /health/ready` 和 `GET /api/health` 会检查 MySQL、Redis，任一依赖不可用时返回 503。
+
+数据库 SQL 约束、执行计划、慢查询观测、连接池和备份恢复要求见 [`docs/数据库SQL约束与运维.md`](docs/数据库SQL约束与运维.md)。
+
+需要在本地推送前自动执行同一套检查时，启用 Git hook：
+
+```bash
+bash scripts/install-git-hooks.sh
+```
+
+启用后，`git push` 会执行 `scripts/check.sh`；仅临时跳过时使用：
+
+```bash
+SKIP_CHECKS=1 git push
+```
+
 ## 开发态短信与实名
 
 - 后端日志使用单行可读文本。开发环境同时输出控制台和 `backend/logs/app-YYYY-MM-DD.log`，生产示例只输出文件以避免重复存储；可通过 `LOG_LEVEL=debug|info|warn|error` 调整级别。