全局配置更新：OAuth 回调修复、支付安全加固、站点 URL 工具

- 新增 NEXT_PUBLIC_SITE_URL 支持及 site-url.ts 工具模块
- 修复 OAuth 回调域名：import.meta.env 统一读取站点 URL
- 支付 API 路由新增收款地址校验
- 后端支付服务更新
- middleware 清理
- 新增 paymentSecurity 测试

web/services/payment_api.py

@@ -28,7 +28,11 @@ def _raise_payment_error(exc: Exception) -> None:
 
 def _require_payment_identity(request: Request) -> Dict[str, Any]:
     legacy_routes._assert_entitlement(request)
-    return legacy_routes._require_supabase_identity(request)
+    identity = legacy_routes._require_supabase_identity(request)
+    user_id = str(identity.get("user_id") or "").strip()
+    if not user_id or user_id == "entitlement" or user_id.startswith("admin:"):
+        raise HTTPException(status_code=401, detail="Supabase user required")
+    return identity
 
 
 def get_payment_config(request: Request) -> Dict[str, Any]: