feat(billing): 微信支付配置进 DB —— admin 控制面保存即热生效

用户定的形态:配置存数据库、密钥文件放服务器磁盘(库里只存路径)。
env 降级为兜底(DB 优先 → env → 隐藏,与 tokens_per_credit 同一约定)。

- payment 包重构:Config(6 字段)+ Manager(RWMutex 热重载,学 prompt 控制面
  改完即生效不重启);未启用原因人话化(未配置/缺哪些字段/初始化失败具体错)。
- APIv3 密钥入库前 AES-GCM 加密(shared/secrets,与模型 API Key 同一把
  SUNDYNIX_SECRET_KEY);GET 只回 has_apiv3_key 不回显;PUT 留空=沿用旧密钥
  (只写不回显语义,同模型 Key)。
- admin GET/PUT /admin/payment/wechat;业务路径全部改经 Manager.Current()
  取快照(BillingPacks/下单/查单/回调)。
- admin 计费页「微信支付配置」卡片:状态徽章(已启用/未启用+原因)+六字段
  +保存并热生效。
live:无配置→「未配置」;存假配置→热重载报「私钥加载失败:decode err」;
去掉 appid→「配置不全,缺: appid」;密钥留空沿用(has_apiv3_key 保持 true);
psql 复核库内密文 enc:1: 前缀、不含明文子串。go/tsc/41 vitest 全绿。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

sundynix-gateway/internal/payment/manager.go

@@ -0,0 +1,112 @@
+package payment
+
+import (
+	"context"
+	"errors"
+	"log"
+	"os"
+	"strings"
+	"sync"
+)
+
+// Config 微信支付渠道配置。来源两级：DB 设置（admin 控制面，热生效）优先，env 兜底
+// ——与 TokensPerCredit 的「DB 优先 → env → 默认」同一约定。
+// APIv3Key 在库里是 AES-GCM 密文（与模型 API Key 同一把 SUNDYNIX_SECRET_KEY），
+// 这里拿到的是解密后的明文；PrivateKeyPath 只是服务器磁盘路径，私钥文件本身不进库。
+type Config struct {
+	MchID          string `json:"mchid"`
+	CertSerial     string `json:"cert_serial"`
+	PrivateKeyPath string `json:"private_key_path"`
+	APIv3Key       string `json:"apiv3_key"`
+	AppID          string `json:"appid"`
+	NotifyURL      string `json:"notify_url"`
+}
+
+// Empty 完全未配置（一个字段都没填）。
+func (c Config) Empty() bool {
+	return c.MchID == "" && c.CertSerial == "" && c.PrivateKeyPath == "" &&
+		c.APIv3Key == "" && c.AppID == "" && c.NotifyURL == ""
+}
+
+// missing 返回缺失字段名（配置不全时给 admin 一句能看懂的原因）。
+func (c Config) missing() []string {
+	var out []string
+	for _, f := range []struct{ k, v string }{
+		{"mchid", c.MchID}, {"cert_serial", c.CertSerial}, {"private_key_path", c.PrivateKeyPath},
+		{"apiv3_key", c.APIv3Key}, {"appid", c.AppID}, {"notify_url", c.NotifyURL},
+	} {
+		if strings.TrimSpace(f.v) == "" {
+			out = append(out, f.k)
+		}
+	}
+	return out
+}
+
+// ConfigFromEnv 从环境变量读配置（DB 未配置时的兜底，兼容 P5.2 的纯 env 用法）。
+func ConfigFromEnv() Config {
+	return Config{
+		MchID:          os.Getenv("WECHAT_MCHID"),
+		CertSerial:     os.Getenv("WECHAT_MCH_CERT_SERIAL"),
+		PrivateKeyPath: os.Getenv("WECHAT_MCH_PRIVATE_KEY"),
+		APIv3Key:       os.Getenv("WECHAT_APIV3_KEY"),
+		AppID:          os.Getenv("WECHAT_APPID"),
+		NotifyURL:      os.Getenv("WECHAT_NOTIFY_URL"),
+	}
+}
+
+// Manager 持有当前微信渠道实例，支持 admin 改配置后热重载（学 prompt 控制面：改完即生效，
+// 不重启 gateway）。所有业务路径经 Current() 取用——nil 即渠道隐藏。
+type Manager struct {
+	mu     sync.RWMutex
+	w      *Wechat
+	reason string // 未启用原因（给 admin 状态面看）
+}
+
+func NewManager() *Manager {
+	return &Manager{reason: "未配置"}
+}
+
+// Reload 按给定配置重建渠道实例。失败只降级为隐藏并记录原因，绝不 panic/拖垮服务。
+func (m *Manager) Reload(ctx context.Context, c Config) error {
+	w, reason, err := build(ctx, c)
+	m.mu.Lock()
+	m.w = w
+	m.reason = reason
+	m.mu.Unlock()
+	if w != nil {
+		log.Printf("[payment] 微信支付 Native 渠道已启用 (mchid=%s)", c.MchID)
+	} else if !c.Empty() {
+		log.Printf("[payment] 微信支付渠道未启用: %s", reason)
+	}
+	return err
+}
+
+// Current 当前渠道实例；nil = 未配置/配置失败（渠道隐藏）。
+func (m *Manager) Current() *Wechat {
+	m.mu.RLock()
+	defer m.mu.RUnlock()
+	return m.w
+}
+
+// Status 给 admin 状态面：是否启用 + 未启用原因。
+func (m *Manager) Status() (bool, string) {
+	m.mu.RLock()
+	defer m.mu.RUnlock()
+	return m.w != nil, m.reason
+}
+
+// build 装配渠道实例；返回 (实例, 未启用原因, 错误)。配置为空不算错。
+func build(ctx context.Context, c Config) (*Wechat, string, error) {
+	if c.Empty() {
+		return nil, "未配置", nil
+	}
+	if miss := c.missing(); len(miss) > 0 {
+		reason := "配置不全，缺: " + strings.Join(miss, ", ")
+		return nil, reason, errors.New(reason)
+	}
+	w, err := New(ctx, c)
+	if err != nil {
+		return nil, "初始化失败: " + err.Error(), err
+	}
+	return w, "", nil
+}