订单接口最小化与私有文件访问加固

- 订单列表使用独立最小 DTO 并分页，号主待办提供独立接口与统计
- 用户 token 增加版本控制，冻结/改密/退出即时撤销会话
- 移除 URL token 传参，SSE 与接口统一使用 HttpOnly Cookie
- 私有文件按上传归属与业务关联授权，收款凭证转私有访问并校验归属
- 公开商品接口返回最小字段，隐藏号主身份与内部状态
- 每日清理超过 30 天未关联业务的上传归属，上传归属失败时补偿删除对象

deploy/caddy/Caddyfile

@@ -6,6 +6,7 @@
 # 防止客户端伪造 X-Forwarded-For 影响限流、审计和支付下单的 client_ip。
 (backend_proxy) {
 	header_up X-Real-IP {remote_host}
+	header_up X-Forwarded-Proto {scheme}
 }
 
 # 公开 API 反代片段：主站与选号网共用。

deploy/caddy/show.caddy.tmpl

@@ -18,12 +18,14 @@ __CADDY_SHOW_DOMAIN__ {
 		}
 		reverse_proxy backend:8080 {
 			header_up X-Real-IP {remote_host}
+			header_up X-Forwarded-Proto {scheme}
 		}
 	}
 
 	handle /health {
 		reverse_proxy backend:8080 {
 			header_up X-Real-IP {remote_host}
+			header_up X-Forwarded-Proto {scheme}
 		}
 	}