feat(billing): 微信支付配置进 DB —— admin 控制面保存即热生效

用户定的形态:配置存数据库、密钥文件放服务器磁盘(库里只存路径)。
env 降级为兜底(DB 优先 → env → 隐藏,与 tokens_per_credit 同一约定)。

- payment 包重构:Config(6 字段)+ Manager(RWMutex 热重载,学 prompt 控制面
  改完即生效不重启);未启用原因人话化(未配置/缺哪些字段/初始化失败具体错)。
- APIv3 密钥入库前 AES-GCM 加密(shared/secrets,与模型 API Key 同一把
  SUNDYNIX_SECRET_KEY);GET 只回 has_apiv3_key 不回显;PUT 留空=沿用旧密钥
  (只写不回显语义,同模型 Key)。
- admin GET/PUT /admin/payment/wechat;业务路径全部改经 Manager.Current()
  取快照(BillingPacks/下单/查单/回调)。
- admin 计费页「微信支付配置」卡片:状态徽章(已启用/未启用+原因)+六字段
  +保存并热生效。
live:无配置→「未配置」;存假配置→热重载报「私钥加载失败:decode err」;
去掉 appid→「配置不全,缺: appid」;密钥留空沿用(has_apiv3_key 保持 true);
psql 复核库内密文 enc:1: 前缀、不含明文子串。go/tsc/41 vitest 全绿。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

sundynix-gateway/internal/payment/wechat.go

@@ -7,9 +7,7 @@ import (
 	"context"
 	"errors"
 	"fmt"
-	"log"
 	"net/http"
-	"os"
 
 	"github.com/wechatpay-apiv3/wechatpay-go/core"
 	"github.com/wechatpay-apiv3/wechatpay-go/core/auth/verifiers"
@@ -21,16 +19,7 @@ import (
 	"github.com/wechatpay-apiv3/wechatpay-go/utils"
 )
 
-// Wechat 微信支付 Native（扫码）适配器。凭据一律 env 注入：
-//
-//	WECHAT_MCHID              商户号
-//	WECHAT_MCH_CERT_SERIAL    商户 API 证书序列号
-//	WECHAT_MCH_PRIVATE_KEY    商户 API 私钥文件路径（apiclient_key.pem）
-//	WECHAT_APIV3_KEY          APIv3 密钥（32 字节）
-//	WECHAT_APPID              关联的公众号/小程序/APP 的 appid
-//	WECHAT_NOTIFY_URL         支付回调地址（须公网 https，如 https://api.example.com/api/v1/billing/callback/wechat）
-//
-// 任一缺失 → NewWechatFromEnv 返回 nil，渠道自动隐藏（半配置状态不许把下单路由搞出 5xx）。
+// Wechat 微信支付 Native（扫码）适配器。配置来源见 Config（DB 优先、env 兜底，由 Manager 装配）。
 // 本地开发收不到公网回调没关系：前端轮询的 GET /billing/orders/:id 会主动查单确认，
 // 回调只是生产环境更快的到账通道，两条路都汇入同一个幂等入账闸。
 type Wechat struct {
@@ -42,36 +31,20 @@ type Wechat struct {
 	svc       native.NativeApiService
 }
 
-// NewWechatFromEnv 依据环境变量装配微信渠道；未配置（或配置不全/私钥读不了）返回 nil。
-func NewWechatFromEnv(ctx context.Context) *Wechat {
-	mchID := os.Getenv("WECHAT_MCHID")
-	serial := os.Getenv("WECHAT_MCH_CERT_SERIAL")
-	keyPath := os.Getenv("WECHAT_MCH_PRIVATE_KEY")
-	apiv3 := os.Getenv("WECHAT_APIV3_KEY")
-	appID := os.Getenv("WECHAT_APPID")
-	notifyURL := os.Getenv("WECHAT_NOTIFY_URL")
-	if mchID == "" && serial == "" && keyPath == "" && apiv3 == "" {
-		return nil // 完全未配置：静默（大多数开发环境）
-	}
-	if mchID == "" || serial == "" || keyPath == "" || apiv3 == "" || appID == "" || notifyURL == "" {
-		log.Printf("[payment] 微信支付配置不全（MCHID/CERT_SERIAL/PRIVATE_KEY/APIV3_KEY/APPID/NOTIFY_URL 缺一不可），渠道保持隐藏")
-		return nil
-	}
-	priv, err := utils.LoadPrivateKeyWithPath(keyPath)
+// New 按完整配置装配微信渠道（私钥从磁盘路径加载；调用方保证字段齐全）。
+func New(ctx context.Context, c Config) (*Wechat, error) {
+	priv, err := utils.LoadPrivateKeyWithPath(c.PrivateKeyPath)
 	if err != nil {
-		log.Printf("[payment] 微信商户私钥加载失败(%s)，渠道保持隐藏: %v", keyPath, err)
-		return nil
+		return nil, fmt.Errorf("商户私钥加载失败(%s): %w", c.PrivateKeyPath, err)
 	}
-	client, err := core.NewClient(ctx, option.WithWechatPayAutoAuthCipher(mchID, serial, priv, apiv3))
+	client, err := core.NewClient(ctx, option.WithWechatPayAutoAuthCipher(c.MchID, c.CertSerial, priv, c.APIv3Key))
 	if err != nil {
-		log.Printf("[payment] 微信支付客户端初始化失败，渠道保持隐藏: %v", err)
-		return nil
+		return nil, fmt.Errorf("客户端初始化失败: %w", err)
 	}
-	log.Printf("[payment] 微信支付 Native 渠道已启用 (mchid=%s)", mchID)
 	return &Wechat{
-		mchID: mchID, appID: appID, notifyURL: notifyURL, apiv3Key: apiv3,
+		mchID: c.MchID, appID: c.AppID, notifyURL: c.NotifyURL, apiv3Key: c.APIv3Key,
 		client: client, svc: native.NativeApiService{Client: client},
-	}
+	}, nil
 }
 
 // CreatePay Native 下单：返回 code_url（前端渲染成二维码）。金额取订单锁定值。