feat(captcha): 打通人机验证 11 个场景的前后端完整链路

- 统一验证入口 aksrt_require_captcha()，返回 true|WP_Error，启用场景配置缺失时 fail-closed 拒绝
- 前端公共 API 重构为 window.AKSRTCaptcha（verify/collect/reset/run），单飞锁防并发重复验证，一次性 proof 绑定浏览器 cookie+场景+服务商+主机名
- challenge/exchange REST 端点：challenge 原子占用防票据放大厂商调用，增加频率限制
- 新增 OAuth bind pass：服务端签发 5 分钟一次性令牌，绑定用户+服务商+浏览器，微信扫码延迟消费
- 覆盖场景：评论、登录、注册、绑定第三方、绑定手机、找回密码、修改密码、更改邮箱、资料下载、签到、前台投稿
- 移除 Service 层重复验证与 _auth_code_verified/_defer_login 等客户端可伪造标志，删除下载共享 pass 死代码
- 修复腾讯 TC3 签名 scope、Cloudflare action/cdata/hostname 严格校验、阿里云验签错误码映射
- 后台 Schema 保存对 secret 字段做掩码/保留合并；导入导出过滤 aksrt_captcha_config
- 重建 public bundle 与 admin SPA；新增 captcha 运行时/安全/业务契约测试与 harness

src/Content/Download.php

@@ -203,18 +203,13 @@ class Download {
             }
         }
 
-        $need_captcha = function_exists('aksrt_is_captcha_enabled_for') && aksrt_is_captcha_enabled_for('download');
-        if ($need_captcha && function_exists('aksrt_require_captcha')) {
-            $cap_payload = isset($params['captcha']) && is_array($params['captcha']) ? $params['captcha'] : [];
-            // 场景未启用时 require 直接放行；启用时强制校验 token。
-            if (function_exists('aksrt_is_captcha_enabled_for') && aksrt_is_captcha_enabled_for('download')) {
-                $verify = aksrt_require_captcha('download', $cap_payload);
-                if ($verify !== true) {
-                    $msg = is_string($verify) ? $verify : __('人机验证失败', 'aksrt');
-                    return new \WP_Error('aksrt_captcha_failed', $msg, ['status' => 400]);
-                }
-            }
-        }
+		$cap_payload = isset($params['captcha']) && is_array($params['captcha']) ? $params['captcha'] : [];
+		$verify = aksrt_require_captcha('download', $cap_payload);
+		if ($verify !== true) {
+			$code = is_wp_error($verify) ? $verify->get_error_code() : 'aksrt_captcha_failed';
+			$msg = is_wp_error($verify) ? $verify->get_error_message() : __('人机验证失败', 'aksrt');
+			return new \WP_Error($code ?: 'aksrt_captcha_failed', $msg, ['status' => 400]);
+		}
 
         // Purchase is one-shot via cashier (resource order). Token issue does not re-deduct.
         $config = $this->config();