feat(billing): 微信支付配置进 DB —— admin 控制面保存即热生效

用户定的形态:配置存数据库、密钥文件放服务器磁盘(库里只存路径)。
env 降级为兜底(DB 优先 → env → 隐藏,与 tokens_per_credit 同一约定)。

- payment 包重构:Config(6 字段)+ Manager(RWMutex 热重载,学 prompt 控制面
  改完即生效不重启);未启用原因人话化(未配置/缺哪些字段/初始化失败具体错)。
- APIv3 密钥入库前 AES-GCM 加密(shared/secrets,与模型 API Key 同一把
  SUNDYNIX_SECRET_KEY);GET 只回 has_apiv3_key 不回显;PUT 留空=沿用旧密钥
  (只写不回显语义,同模型 Key)。
- admin GET/PUT /admin/payment/wechat;业务路径全部改经 Manager.Current()
  取快照(BillingPacks/下单/查单/回调)。
- admin 计费页「微信支付配置」卡片:状态徽章(已启用/未启用+原因)+六字段
  +保存并热生效。
live:无配置→「未配置」;存假配置→热重载报「私钥加载失败:decode err」;
去掉 appid→「配置不全,缺: appid」;密钥留空沿用(has_apiv3_key 保持 true);
psql 复核库内密文 enc:1: 前缀、不含明文子串。go/tsc/41 vitest 全绿。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

sundynix-admin/src/api.ts

@@ -226,6 +226,38 @@ export async function listRedeemCodes(): Promise<RedeemCodeRow[]> {
   return d.codes ?? [];
 }
 
+// ---- 微信支付配置（DB 存储、热生效；APIv3 密钥密文入库、不回显）----
+export interface WechatPayConfig {
+  mchid: string;
+  cert_serial: string;
+  private_key_path: string;
+  appid: string;
+  notify_url: string;
+  has_apiv3_key: boolean;
+}
+
+export async function getWechatPay(): Promise<{ config: WechatPayConfig; enabled: boolean; reason: string }> {
+  const res = guard(await fetch(`${ADMIN}/payment/wechat`, { headers: authHeaders() }));
+  const d = (await res.json().catch(() => ({}))) as { config?: WechatPayConfig; enabled?: boolean; reason?: string; error?: string };
+  if (!res.ok) throw new Error(d.error ?? `load failed: ${res.status}`);
+  return { config: d.config!, enabled: !!d.enabled, reason: d.reason ?? "" };
+}
+
+// saveWechatPay：apiv3_key 传空串 = 沿用已保存的密钥。返回热重载后的渠道状态。
+export async function saveWechatPay(body: {
+  mchid: string;
+  cert_serial: string;
+  private_key_path: string;
+  apiv3_key: string;
+  appid: string;
+  notify_url: string;
+}): Promise<{ enabled: boolean; reason: string }> {
+  const res = guard(await fetch(`${ADMIN}/payment/wechat`, { method: "PUT", headers: authHeaders(true), body: JSON.stringify(body) }));
+  const d = (await res.json().catch(() => ({}))) as { enabled?: boolean; reason?: string; error?: string };
+  if (!res.ok) throw new Error(d.error ?? `save failed: ${res.status}`);
+  return { enabled: !!d.enabled, reason: d.reason ?? "" };
+}
+
 // gatewayOnline 用公开的 /healthz 探活（不受鉴权影响）。
 export async function gatewayOnline(): Promise<boolean> {
   try {