feat(captcha): 打通人机验证 11 个场景的前后端完整链路

- 统一验证入口 aksrt_require_captcha()，返回 true|WP_Error，启用场景配置缺失时 fail-closed 拒绝
- 前端公共 API 重构为 window.AKSRTCaptcha（verify/collect/reset/run），单飞锁防并发重复验证，一次性 proof 绑定浏览器 cookie+场景+服务商+主机名
- challenge/exchange REST 端点：challenge 原子占用防票据放大厂商调用，增加频率限制
- 新增 OAuth bind pass：服务端签发 5 分钟一次性令牌，绑定用户+服务商+浏览器，微信扫码延迟消费
- 覆盖场景：评论、登录、注册、绑定第三方、绑定手机、找回密码、修改密码、更改邮箱、资料下载、签到、前台投稿
- 移除 Service 层重复验证与 _auth_code_verified/_defer_login 等客户端可伪造标志，删除下载共享 pass 死代码
- 修复腾讯 TC3 签名 scope、Cloudflare action/cdata/hostname 严格校验、阿里云验签错误码映射
- 后台 Schema 保存对 secret 字段做掩码/保留合并；导入导出过滤 aksrt_captcha_config
- 重建 public bundle 与 admin SPA；新增 captcha 运行时/安全/业务契约测试与 harness

src/Credits/Signin.php

@@ -103,17 +103,16 @@ class Signin {
 
         $today_str = $this->today_date();
         // 人机验证（若启用）
-        if (function_exists('aksrt_require_captcha')) {
-            $body        = $request->get_json_params();
-            $cap_payload = is_array($body) && isset($body['captcha']) && is_array($body['captcha'])
-                ? $body['captcha']
-                : (is_array($body) ? $body : []);
-            $verify = aksrt_require_captcha('signin', $cap_payload);
-            if ($verify !== true) {
-                $msg = is_string($verify) ? $verify : __('人机验证失败', 'aksrt');
-                return new \WP_Error('aksrt_captcha_failed', $msg, ['status' => 400]);
-            }
-        }
+        $body        = $request->get_json_params();
+        $cap_payload = is_array($body) && isset($body['captcha']) && is_array($body['captcha'])
+            ? $body['captcha']
+            : (is_array($body) ? $body : []);
+		$verify = aksrt_require_captcha('signin', $cap_payload);
+		if ($verify !== true) {
+			$code = is_wp_error($verify) ? $verify->get_error_code() : 'aksrt_captcha_failed';
+			$msg = is_wp_error($verify) ? $verify->get_error_message() : __('人机验证失败', 'aksrt');
+			return new \WP_Error($code ?: 'aksrt_captcha_failed', $msg, ['status' => 400]);
+		}
 
 		$existing_record = $this->get_record($user_id, $today_str);
 		if (is_array($existing_record)) {