feat(captcha): 打通人机验证 11 个场景的前后端完整链路

- 统一验证入口 aksrt_require_captcha()，返回 true|WP_Error，启用场景配置缺失时 fail-closed 拒绝
- 前端公共 API 重构为 window.AKSRTCaptcha（verify/collect/reset/run），单飞锁防并发重复验证，一次性 proof 绑定浏览器 cookie+场景+服务商+主机名
- challenge/exchange REST 端点：challenge 原子占用防票据放大厂商调用，增加频率限制
- 新增 OAuth bind pass：服务端签发 5 分钟一次性令牌，绑定用户+服务商+浏览器，微信扫码延迟消费
- 覆盖场景：评论、登录、注册、绑定第三方、绑定手机、找回密码、修改密码、更改邮箱、资料下载、签到、前台投稿
- 移除 Service 层重复验证与 _auth_code_verified/_defer_login 等客户端可伪造标志，删除下载共享 pass 死代码
- 修复腾讯 TC3 签名 scope、Cloudflare action/cdata/hostname 严格校验、阿里云验签错误码映射
- 后台 Schema 保存对 secret 字段做掩码/保留合并；导入导出过滤 aksrt_captcha_config
- 重建 public bundle 与 admin SPA；新增 captcha 运行时/安全/业务契约测试与 harness

src/Admin/ImportExportControllerPart1.php

@@ -90,18 +90,24 @@ trait ImportExportControllerPart1 {
 
         $payload = $target['payload'];
         $domains = $payload['domains'] ?? [];
-        $standalone = $payload['standalone'] ?? [];
+        $standalone = \AKSRT\Settings\Settings::filter_sensitive_import(
+            is_array($payload['standalone'] ?? null) ? $payload['standalone'] : []
+        );
         $provider = SchemaProvider::get_instance();
 
         foreach ($domains as $domain => $domainPayload) {
             $data = $domainPayload['data'] ?? $domainPayload;
-            if (is_array($data)) {
-                $provider->write_settings((string) $domain, $data);
+            if (is_array($data) && in_array((string) $domain, $provider->get_domain_keys(), true)) {
+                $clean = $provider->sanitize_payload((string) $domain, $data);
+                $validation = $provider->validate((string) $domain, $clean);
+                if ($validation['valid']) {
+                    $provider->write_settings((string) $domain, $clean);
+                }
             }
         }
 
         foreach ($standalone as $key => $value) {
-            if (is_string($key) && preg_match('/^aksrt_/', $key)) {
+            if (is_string($key) && in_array($key, \AKSRT\Settings\Settings::standalone_export_keys(), true)) {
                 update_option($key, $value);
             }
         }