security: 补上认证面与输入边界的四处防护

链路功能已经跑通，缺的是边界。这几处默认值都是仓库里公开已知的，忘配就等于没有认证。

- 认证端点限速：/auth/login、/auth/register 此前完全没接限速器（Limiter 只挂在代理
  Auth 上），爆破与批量建号零成本。新增 AllowWindow 滑动窗口，登录按「单 IP」和
  「单 IP×账号」两个桶（默认 30/min、10/min），注册按 IP（5/min）且在 argon2 之前拦，
  避免光靠建号请求打满 CPU；超限返回 429 + Retry-After。
- 生产启动断言：env=production 时拒绝默认 OT_JWT_SECRET、缺失或短于 16 字节的
  OT_MASTER_KEY（缺失时 NewEncryptor 会用 sha256("") 派生，渠道密文可被公开还原）、
  默认管理员密码；一次列全所有问题，不再改一个试一个。development 不拦。
- 请求体上限：parseBody 原来全量 io.ReadAll 且全项目没有一处 MaxBytesReader，
  合法密钥可把任意大 body 整份压进内存再转发。/v1 组挂 BodyLimit（默认 32MB，
  OT_PROXY_MAX_BODY_MB），超限按客户端协议返回 413 request_too_large 并点名上限。
- CORS：不再无条件反射 Origin + Allow-Credentials: true——那唯一挡住跨站凭据读取的
  是 refresh cookie 的 SameSite=Lax，改成 None 就立刻变成窃取面。改为显式白名单，
  空白名单完全不发跨域头（同源部署与 vite proxy 本来就不需要），通配 * 不配凭据；
  允许头补上 X-Api-Key / Anthropic-Version / OpenAI-*，否则浏览器里跑官方 SDK 预检会挂。
- 配套 OT_SERVER_TRUSTED_PROXIES：不配置就不信 X-Forwarded-For（防伪造头绕过 IP 限速）。

顺手删掉 .env.example 末尾重复的 OT_PROXY_LOG_RAW 段。

server/internal/api/auth.go

@@ -4,6 +4,7 @@ package api
 import (
 	"encoding/json"
 	"net/http"
+	"strconv"
 	"strings"
 	"time"
 
@@ -27,6 +28,20 @@ func NewHandler(a *app.App, gw *proxy.Gateway, pk *passkey.Service) *Handler {
 	return &Handler{a: a, gw: gw, passkeys: pk}
 }
 
+// authLimited 认证端点滑动窗口限速：超限返回 429 并带 Retry-After。
+// limit<=0 或限速器缺席时放行。
+func (h *Handler) authLimited(c *gin.Context, key string, limit int, window time.Duration) bool {
+	if h.a.Limit == nil || limit <= 0 {
+		return false
+	}
+	if h.a.Limit.AllowWindow(key, limit, window) {
+		return false
+	}
+	c.Header("Retry-After", strconv.Itoa(int(window.Seconds())))
+	resp.Fail(c, http.StatusTooManyRequests, "尝试过于频繁，请稍后再试")
+	return true
+}
+
 // ---------------------------------------------------------------------------
 // 认证
 
@@ -39,6 +54,10 @@ type registerReq struct {
 
 // Register POST /api/v1/auth/register
 func (h *Handler) Register(c *gin.Context) {
+	// 先限速再解析/哈希：注册走 argon2，未限速时光靠建号请求就能把 CPU 打满
+	if h.authLimited(c, "register:ip:"+c.ClientIP(), h.a.Cfg.RateLimit.RegisterIPPerMin, time.Minute) {
+		return
+	}
 	var req registerReq
 	if err := c.ShouldBindJSON(&req); err != nil {
 		resp.Fail(c, http.StatusBadRequest, "invalid input: "+err.Error())
@@ -105,6 +124,14 @@ func (h *Handler) Login(c *gin.Context) {
 		resp.Fail(c, http.StatusBadRequest, "invalid input")
 		return
 	}
+	// 两个桶：单 IP 总量挡扫库式爆破，单 IP×账号挡换 IP 定向爆破同一个账号
+	ip := c.ClientIP()
+	if h.authLimited(c, "login:ip:"+ip, h.a.Cfg.RateLimit.LoginIPPerMin, time.Minute) {
+		return
+	}
+	if h.authLimited(c, "login:u:"+ip+"|"+strings.ToLower(req.Username), h.a.Cfg.RateLimit.LoginUserPerMin, time.Minute) {
+		return
+	}
 	var u store.User
 	err := h.a.DB.Where("username = ? OR email = ?", req.Username, strings.ToLower(req.Username)).First(&u).Error
 	if err != nil || u.Status != store.UserStatusActive {
@@ -219,15 +246,15 @@ func (h *Handler) setRefreshCookie(c *gin.Context, value string) {
 
 func (h *Handler) publicUser(u *store.User) gin.H {
 	return gin.H{
-		"id":         u.ID,
-		"username":   u.Username,
-		"email":      u.Email,
-		"role":       u.Role,
-		"balance":    u.Balance,
-		"status":     u.Status,
+		"id":             u.ID,
+		"username":       u.Username,
+		"email":          u.Email,
+		"role":           u.Role,
+		"balance":        u.Balance,
+		"status":         u.Status,
 		"allowed_models": u.AllowedModels,
 		"denied_models":  u.DeniedModels,
-		"created_at": u.CreatedAt,
+		"created_at":     u.CreatedAt,
 	}
 }