security: 补上认证面与输入边界的四处防护

链路功能已经跑通，缺的是边界。这几处默认值都是仓库里公开已知的，忘配就等于没有认证。

- 认证端点限速：/auth/login、/auth/register 此前完全没接限速器（Limiter 只挂在代理
  Auth 上），爆破与批量建号零成本。新增 AllowWindow 滑动窗口，登录按「单 IP」和
  「单 IP×账号」两个桶（默认 30/min、10/min），注册按 IP（5/min）且在 argon2 之前拦，
  避免光靠建号请求打满 CPU；超限返回 429 + Retry-After。
- 生产启动断言：env=production 时拒绝默认 OT_JWT_SECRET、缺失或短于 16 字节的
  OT_MASTER_KEY（缺失时 NewEncryptor 会用 sha256("") 派生，渠道密文可被公开还原）、
  默认管理员密码；一次列全所有问题，不再改一个试一个。development 不拦。
- 请求体上限：parseBody 原来全量 io.ReadAll 且全项目没有一处 MaxBytesReader，
  合法密钥可把任意大 body 整份压进内存再转发。/v1 组挂 BodyLimit（默认 32MB，
  OT_PROXY_MAX_BODY_MB），超限按客户端协议返回 413 request_too_large 并点名上限。
- CORS：不再无条件反射 Origin + Allow-Credentials: true——那唯一挡住跨站凭据读取的
  是 refresh cookie 的 SameSite=Lax，改成 None 就立刻变成窃取面。改为显式白名单，
  空白名单完全不发跨域头（同源部署与 vite proxy 本来就不需要），通配 * 不配凭据；
  允许头补上 X-Api-Key / Anthropic-Version / OpenAI-*，否则浏览器里跑官方 SDK 预检会挂。
- 配套 OT_SERVER_TRUSTED_PROXIES：不配置就不信 X-Forwarded-For（防伪造头绕过 IP 限速）。

顺手删掉 .env.example 末尾重复的 OT_PROXY_LOG_RAW 段。

server/internal/pkg/ratelimit/ratelimit.go

@@ -24,6 +24,7 @@ type Limiter struct {
 	reqDaily map[uint64]*dayCounter // 密钥每日请求数
 	tokDaily map[uint64]*dayCounter // 密钥每日 token 用量
 	userHits map[uint64]*hitWindow  // 用户速率窗口
+	authHits map[string]*hitWindow  // 认证端点速率窗口（按 IP / IP+账号）
 }
 
 func New() *Limiter {
@@ -31,6 +32,7 @@ func New() *Limiter {
 		reqDaily: map[uint64]*dayCounter{},
 		tokDaily: map[uint64]*dayCounter{},
 		userHits: map[uint64]*hitWindow{},
+		authHits: map[string]*hitWindow{},
 	}
 }
 
@@ -110,3 +112,52 @@ func (l *Limiter) AllowUserRate(userID uint64, limit int) bool {
 	w.times = append(w.times, now)
 	return true
 }
+
+// AllowWindow 字符串键滑动窗口限速；limit<=0 表示不限制，返回 false 表示已超限。
+// 用于认证端点（登录爆破、批量注册），键由调用方拼出（IP、IP+用户名等）。
+// 窗口内已无命中时删除条目，避免陌生键把 map 撑大。
+func (l *Limiter) AllowWindow(key string, limit int, window time.Duration) bool {
+	if limit <= 0 {
+		return true
+	}
+	if window <= 0 {
+		window = time.Minute
+	}
+	l.mu.Lock()
+	defer l.mu.Unlock()
+	now := time.Now()
+	w, ok := l.authHits[key]
+	if !ok {
+		w = &hitWindow{limit: limit, window: window}
+		l.authHits[key] = w
+	}
+	cutoff := now.Add(-w.window)
+	keep := w.times[:0]
+	for _, t := range w.times {
+		if t.After(cutoff) {
+			keep = append(keep, t)
+		}
+	}
+	w.times = keep
+	if len(w.times) >= w.limit {
+		return false
+	}
+	w.times = append(w.times, now)
+	// 键由外部拼出（IP 等），条目只增不减会长期堆积：规模到阈值就整体扫一遍过期键
+	if len(l.authHits) > 4096 {
+		for k, v := range l.authHits {
+			vcut := now.Add(-v.window)
+			alive := v.times[:0]
+			for _, t := range v.times {
+				if t.After(vcut) {
+					alive = append(alive, t)
+				}
+			}
+			v.times = alive
+			if len(v.times) == 0 {
+				delete(l.authHits, k)
+			}
+		}
+	}
+	return true
+}

server/internal/pkg/ratelimit/window_test.go

@@ -0,0 +1,39 @@
+package ratelimit
+
+import (
+	"testing"
+	"time"
+)
+
+func TestAllowWindow(t *testing.T) {
+	l := New()
+	const win = 80 * time.Millisecond
+
+	// 窗口内到量就拒
+	for i := 0; i < 3; i++ {
+		if !l.AllowWindow("login:ip:1.2.3.4", 3, win) {
+			t.Fatalf("第 %d 次应放行", i+1)
+		}
+	}
+	if l.AllowWindow("login:ip:1.2.3.4", 3, win) {
+		t.Fatal("超过限额应拒绝")
+	}
+	// 不同键互不影响（换 IP 不会被同一个桶牵连）
+	if !l.AllowWindow("login:ip:5.6.7.8", 3, win) {
+		t.Fatal("另一个 IP 应独立计数")
+	}
+	if !l.AllowWindow("login:u:1.2.3.4|admin", 3, win) {
+		t.Fatal("同一 IP 的另一个账号桶应独立")
+	}
+	// 窗口滑过即恢复
+	time.Sleep(120 * time.Millisecond)
+	if !l.AllowWindow("login:ip:1.2.3.4", 3, win) {
+		t.Fatal("窗口过期后应重新放行")
+	}
+	// limit<=0 不限制
+	for i := 0; i < 5; i++ {
+		if !l.AllowWindow("free", 0, win) {
+			t.Fatal("limit<=0 应始终放行")
+		}
+	}
+}