全局配置更新：OAuth 回调修复、支付安全加固、站点 URL 工具

- 新增 NEXT_PUBLIC_SITE_URL 支持及 site-url.ts 工具模块
- 修复 OAuth 回调域名：import.meta.env 统一读取站点 URL
- 支付 API 路由新增收款地址校验
- 后端支付服务更新
- middleware 清理
- 新增 paymentSecurity 测试

frontend/middleware.ts

@@ -106,12 +106,6 @@ async function handleSupabaseAuthGate(request: NextRequest) {
   if (isPublicPage(pathname) || isPublicApi(pathname)) {
     return NextResponse.next();
   }
-  if (pathname.startsWith("/api/")) {
-    const authHeader = String(request.headers.get("authorization") || "").trim();
-    if (/^bearer\s+\S+/i.test(authHeader)) {
-      return NextResponse.next();
-    }
-  }
 
   const response = NextResponse.next({
     request: {