feat(captcha): 打通人机验证 11 个场景的前后端完整链路

- 统一验证入口 aksrt_require_captcha()，返回 true|WP_Error，启用场景配置缺失时 fail-closed 拒绝
- 前端公共 API 重构为 window.AKSRTCaptcha（verify/collect/reset/run），单飞锁防并发重复验证，一次性 proof 绑定浏览器 cookie+场景+服务商+主机名
- challenge/exchange REST 端点：challenge 原子占用防票据放大厂商调用，增加频率限制
- 新增 OAuth bind pass：服务端签发 5 分钟一次性令牌，绑定用户+服务商+浏览器，微信扫码延迟消费
- 覆盖场景：评论、登录、注册、绑定第三方、绑定手机、找回密码、修改密码、更改邮箱、资料下载、签到、前台投稿
- 移除 Service 层重复验证与 _auth_code_verified/_defer_login 等客户端可伪造标志，删除下载共享 pass 死代码
- 修复腾讯 TC3 签名 scope、Cloudflare action/cdata/hostname 严格校验、阿里云验签错误码映射
- 后台 Schema 保存对 secret 字段做掩码/保留合并；导入导出过滤 aksrt_captcha_config
- 重建 public bundle 与 admin SPA；新增 captcha 运行时/安全/业务契约测试与 harness

src/Auth/ServicePart1b.php

@@ -15,7 +15,7 @@ trait ServicePart1b {
 	 * @param array $post POST 数据 (phone, code, password, ref)
 	 * @return array{success: bool, user_id?: int, error?: string, redirect?: string}
 	 */
-	public static function register_by_phone(array $post): array {
+	public static function register_by_phone(array $post, bool $verification_completed = false, bool $defer_login = false): array {
 		$phone = sanitize_text_field((string) ($post['phone'] ?? ''));
 		$pass  = (string) ($post['password'] ?? '');
 		$confirm = (string) ($post['password_confirm'] ?? '');
@@ -24,7 +24,7 @@ trait ServicePart1b {
 		if (!preg_match('/^1[3-9]\d{9}$/', $phone)) {
 			return ['success' => false, 'error' => __('手机号格式不正确', 'aksrt')];
 		}
-		if (empty($post['_auth_code_verified'])) {
+		if (!$verification_completed) {
 			return ['success' => false, 'error' => __('请先完成手机验证', 'aksrt')];
 		}
 		if ($username === '' || !validate_username($username) || mb_strlen($username) < 3 || mb_strlen($username) > 60) {
@@ -111,7 +111,7 @@ trait ServicePart1b {
 
 		// 自动登录
 		$user = get_userdata($user_id);
-		if (empty($post['_defer_login'])) {
+			if (!$defer_login) {
 			wp_set_current_user($user_id);
 			wp_set_auth_cookie($user_id, true);
 			if ($user instanceof \WP_User) {
@@ -150,13 +150,6 @@ trait ServicePart1b {
 			return ['success' => false, 'error' => __('手机号格式不正确', 'aksrt')];
 		}
 
-		if (function_exists('aksrt_require_captcha')) {
-			$captcha_result = aksrt_require_captcha('bind_phone', $post);
-			if ($captcha_result !== true) {
-				return ['success' => false, 'error' => $captcha_result];
-			}
-		}
-
 		// 验证 SMS 验证码
 		if (class_exists('\AKSRT\Sms\SMS')) {
 			$verify_result = \AKSRT\Sms\SMS::get_instance()->verify_code($phone, $code);