全局配置更新：OAuth 回调修复、支付安全加固、站点 URL 工具

- 新增 NEXT_PUBLIC_SITE_URL 支持及 site-url.ts 工具模块
- 修复 OAuth 回调域名：import.meta.env 统一读取站点 URL
- 支付 API 路由新增收款地址校验
- 后端支付服务更新
- middleware 清理
- 新增 paymentSecurity 测试

src/bot/io_layer.py

@@ -206,7 +206,6 @@ class BotIOLayer:
             "🔗 机器人: <a href=\"https://t.me/polyyuanbot\">@polyyuanbot</a>\n"
             "👥 社群: <a href=\"https://t.me/+Io5H9oVHFmVjOTQ5\">加入 Telegram 群组</a>\n\n"
             "📌 <i>私有频道用于接收自动推送；手动查看市场概览请私聊机器人发送 <code>/markets</code>。</i>\n\n"
-            "🔐 <i>/city 与 /deb 仅限官方群成员使用。</i>\n\n"
             "示例: <code>/city 伦敦</code> 或 <code>/pwcity 伦敦</code>\n"
             f"💡 <i>提示: 群内有效发言(满 {MESSAGE_MIN_LENGTH} 字)获得 <b>{MESSAGE_POINTS}</b> 积分，"
             f"每日上限 {MESSAGE_DAILY_CAP} 分。"

src/bot/orchestrator.py

@@ -81,8 +81,8 @@ def start_bot() -> None:
     startup_coordinator = StartupCoordinator(
         bot=bot,
         config=config,
-        command_access_mode="group_member_only",
-        protected_commands=["/city", "/deb"],
+        command_access_mode="public",
+        protected_commands=[],
         required_group_chat_id=",".join(get_telegram_chat_ids_from_env()),
     )
 
@@ -99,7 +99,7 @@ def start_bot() -> None:
     started_count = sum(1 for loop in runtime_status.loops if loop.started)
 
     logger.info(
-        "🤖 Bot 启动中... access=group-member-only protected_commands=/city,/deb loops_started={}/{}",
+        "🤖 Bot 启动中... access=public protected_commands=none loops_started={}/{}",
         started_count,
         len(runtime_status.loops),
     )