feat(douyin-mashida): 抖音码速达最小接入后端（消息建单/券码同步/兑换核销/退款作废）

- 签名：出网 md5(secret+Σ(名+值)+secret) 与推送 md5(secret+data+pub_time+topic+secret)
  两套独立实现，含文档 golden 向量单测（与 91 大写 / affiliate_dash HMAC 都不通用）
- 进单：trade_TradePaid 推送 → 验签 → webhook_events 幂等 → order.orderDetail
  → upsertOrderFromSource（provider=douyin_mashida / platform=doudian）
- 精度：19 位订单号超出 JS 安全整数，JSON.parse 会把 p_id 抹成 ...000；
  故解析后从原始 JSON 文本用正则抓回精确数字（单测同时证明"不修会错"）
- 券码：迁移 094 redeem_certificates（(provider,order_id) 唯一做发券幂等）
  + DYC 券码生成 + coupons.syncV2 同步（子单号优先、父单兜底）
- 兑换：POST /api/v1/redeem/lookup|confirm，按 orderNo+IP 限流；
  核销成功后 order.message 通知买家（best-effort，失败只记错误日志）
- 退款/取消：作废未核销券；券已核销时打 WARN 资损告警（已消费不可回滚）
- 后台：GET/POST /api/v1/admin/platform-config/douyin-mashida，
  secret 出参置空 + 掩码，掩码回写不覆盖原值
- 消息路由挂在全局 body parser 之前（app.ts），验签必须用 body 原始字符串

apps/backend/src/app.ts

@@ -7,9 +7,11 @@ import affiliateDashRouter from './routes/affiliate-dash.js'
 import collectRouter from './routes/collect.js'
 import filesRouter from './routes/files.js'
 import claimsRouter from './routes/claims.js'
+import douyinMashidaRouter from './routes/douyin-mashida.js'
 import kuaishouIndustryRouter from './routes/kuaishou-industry.js'
 import open91Router from './routes/open-91.js'
 import pddExtensionRouter from './routes/pdd-extension.js'
+import redeemRouter from './routes/redeem.js'
 import shortLinksRouter from './routes/short-links.js'
 import workerRouter from './routes/worker.js'
 import { accessLogMiddleware } from './middleware/access-log.js'
@@ -34,6 +36,11 @@ export function createApp({ startupState, isShutdownStarted, config }: CreateApp
 
   app.use(accessLogMiddleware)
   app.use(createCorsMiddleware(config))
+
+  // 抖音码速达消息推送必须在全局 body parser **之前**挂载：
+  // 它的签名基于 `data` 的原始 JSON 字符串，express.json/urlencoded 会改变这个字符串。
+  app.use('/api/v1/open/douyin-mashida', douyinMashidaRouter)
+
   app.use(
     express.json({
       limit: '2mb',
@@ -102,6 +109,7 @@ export function createApp({ startupState, isShutdownStarted, config }: CreateApp
   app.use('/api/v1/open/affiliate-dash', affiliateDashRouter)
   app.use('/api/v1/open/91', open91Router)
   app.use('/api/v1/open/kuaishou-industry', kuaishouIndustryRouter)
+  app.use('/api/v1/redeem', redeemRouter)
   app.use('/api/v1/claim', claimsRouter)
   app.use('/api/v1/collect', collectRouter)
   app.use('/api/v1/pdd/extension', pddExtensionRouter)