订单接口最小化与私有文件访问加固

- 订单列表使用独立最小 DTO 并分页，号主待办提供独立接口与统计
- 用户 token 增加版本控制，冻结/改密/退出即时撤销会话
- 移除 URL token 传参，SSE 与接口统一使用 HttpOnly Cookie
- 私有文件按上传归属与业务关联授权，收款凭证转私有访问并校验归属
- 公开商品接口返回最小字段，隐藏号主身份与内部状态
- 每日清理超过 30 天未关联业务的上传归属，上传归属失败时补偿删除对象

backend/migrations/000050_order_list_least_privilege.sql

@@ -0,0 +1,24 @@
+-- +goose Up
+
+-- 订单列表使用独立权限和最小 DTO，避免查看列表即读取订单敏感详情。
+INSERT INTO permissions (code, name, resource, action) VALUES
+('order:list', '查看订单列表', 'order', 'list')
+ON DUPLICATE KEY UPDATE
+  name = VALUES(name),
+  resource = VALUES(resource),
+  action = VALUES(action);
+
+INSERT IGNORE INTO role_permissions (role_id, permission_id)
+SELECT r.id, p.id
+FROM roles r
+JOIN permissions p ON p.code = 'order:list'
+WHERE r.code IN ('super_admin', 'cs', 'ops', 'finance');
+
+-- +goose Down
+
+DELETE rp
+FROM role_permissions rp
+JOIN permissions p ON p.id = rp.permission_id
+WHERE p.code = 'order:list';
+
+DELETE FROM permissions WHERE code = 'order:list';

backend/migrations/000051_user_token_version.sql

@@ -0,0 +1,10 @@
+-- +goose Up
+
+-- 用户会话版本：冻结、改密和退出时递增，立即撤销旧 access/refresh token。
+ALTER TABLE users
+  ADD COLUMN token_version BIGINT NOT NULL DEFAULT 1 COMMENT '用户令牌版本';
+
+-- +goose Down
+
+ALTER TABLE users
+  DROP COLUMN token_version;

backend/migrations/000052_file_upload_owners.sql

@@ -0,0 +1,16 @@
+-- +goose Up
+
+-- 私有文件上传归属：在业务记录写入前，仅允许上传者预览自己的临时文件。
+CREATE TABLE file_upload_owners (
+  id BIGINT UNSIGNED NOT NULL AUTO_INCREMENT,
+  user_id BIGINT UNSIGNED NOT NULL,
+  object_key VARCHAR(512) NOT NULL,
+  created_at DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP,
+  PRIMARY KEY (id),
+  UNIQUE KEY uk_file_upload_owners_object_key (object_key),
+  KEY idx_file_upload_owners_user_id (user_id)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='私有文件上传归属';
+
+-- +goose Down
+
+DROP TABLE IF EXISTS file_upload_owners;

backend/migrations/000053_file_upload_owners_cleanup_index.sql

@@ -0,0 +1,10 @@
+-- +goose Up
+
+-- 为长期未关联上传归属记录的定时清理提供索引。
+ALTER TABLE file_upload_owners
+  ADD KEY idx_file_upload_owners_created_at (created_at);
+
+-- +goose Down
+
+ALTER TABLE file_upload_owners
+  DROP INDEX idx_file_upload_owners_created_at;