feat(captcha): 打通人机验证 11 个场景的前后端完整链路

- 统一验证入口 aksrt_require_captcha()，返回 true|WP_Error，启用场景配置缺失时 fail-closed 拒绝
- 前端公共 API 重构为 window.AKSRTCaptcha（verify/collect/reset/run），单飞锁防并发重复验证，一次性 proof 绑定浏览器 cookie+场景+服务商+主机名
- challenge/exchange REST 端点：challenge 原子占用防票据放大厂商调用，增加频率限制
- 新增 OAuth bind pass：服务端签发 5 分钟一次性令牌，绑定用户+服务商+浏览器，微信扫码延迟消费
- 覆盖场景：评论、登录、注册、绑定第三方、绑定手机、找回密码、修改密码、更改邮箱、资料下载、签到、前台投稿
- 移除 Service 层重复验证与 _auth_code_verified/_defer_login 等客户端可伪造标志，删除下载共享 pass 死代码
- 修复腾讯 TC3 签名 scope、Cloudflare action/cdata/hostname 严格校验、阿里云验签错误码映射
- 后台 Schema 保存对 secret 字段做掩码/保留合并；导入导出过滤 aksrt_captcha_config
- 重建 public bundle 与 admin SPA；新增 captcha 运行时/安全/业务契约测试与 harness

src/Auth/ServicePart1a.php

@@ -10,7 +10,7 @@ defined('ABSPATH') || exit;
 trait ServicePart1a {
 
 
-	public static function register_user(array $post): array {
+	public static function register_user(array $post, bool $verification_completed = false, bool $defer_login = false): array {
 		$user_login = sanitize_user(wp_unslash($post['user_login'] ?? ''), true);
 		$user_email = sanitize_email(wp_unslash($post['user_email'] ?? ''));
 		$password   = (string) ($post['user_pass'] ?? '');
@@ -19,7 +19,7 @@ trait ServicePart1a {
 		if (
 			class_exists('\AKSRT\Settings\Settings')
 			&& \AKSRT\Settings\Settings::signup_verification_enabled()
-			&& empty($post['_auth_code_verified'])
+			&& !$verification_completed
 		) {
 			return ['success' => false, 'error' => __('请先完成邮箱或手机验证', 'aksrt')];
 		}
@@ -83,13 +83,6 @@ trait ServicePart1a {
 			return ['success' => false, 'error' => $password_check];
 		}
 
-		if (empty($post['_auth_code_verified']) && function_exists('aksrt_require_captcha')) {
-			$captcha_result = aksrt_require_captcha('register', $post);
-			if ($captcha_result !== true) {
-				return ['success' => false, 'error' => $captcha_result];
-			}
-		}
-
 		$ref_service = class_exists('\AKSRT\Payment\ReferralAttribution')
 			? \AKSRT\Payment\ReferralAttribution::get_instance()
 			: null;
@@ -143,15 +136,15 @@ trait ServicePart1a {
 			return ['success' => false, 'error' => __('注册成功，但读取用户信息失败，请联系管理员', 'aksrt')];
 		}
 
-			if (
-				empty($post['_defer_login'])
-				&& !empty($post['_auth_code_verified'])
-				&& class_exists('\AKSRT\Settings\Settings')
+				if (
+					!$defer_login
+					&& $verification_completed
+					&& class_exists('\AKSRT\Settings\Settings')
 				&& \AKSRT\Settings\Settings::signup_verification_enabled()
 			) {
 				self::mark_email_verified($user_id);
 			}
-			if (empty($post['_defer_login'])) {
+				if (!$defer_login) {
 				wp_set_auth_cookie((int) $user_id, true);
 				do_action('wp_login', $user->user_login, $user);
 			}