feat(security): 三端闭环加固 + 微信提现打款/订阅消息落地

后端: 身份与归属鉴权收口; 资金安全(结算闸门/支付防篡改/报名费真实扣款/赠金/结算唯一入账/提现打款); 数据泄露与隐私; 登录与密钥安全(默认密钥闸门/登录限流); 可观测性; 启动自检.

微信: 商家转账到零钱提现打款闭环(含回调/查单/失败退回佣金); 订阅消息真实下发闭环与后台模板字段对齐.

后台: 财务/微信支付配置读取失败锁定; 看板/待办/走势去假数据; 打款与测试推送文案修正.

小程序: 请求层错误透传与登录过期提示; 多页失败反馈与乐观回滚; 帮助中心FAQ页面化.

测试: 新增 40+ 回归护栏与真实 MySQL 冒烟(75 套件/599 用例全绿).

server/src/db/mysql.ts

@@ -208,7 +208,11 @@ export async function initDatabase(): Promise<void> {
         amount DECIMAL(10,2) NOT NULL,
         balance DECIMAL(10,2) NOT NULL,
         channel VARCHAR(64) DEFAULT '微信商户零钱',
+        payee_name VARCHAR(64) DEFAULT '',
+        payee_account VARCHAR(128) DEFAULT '',
         status VARCHAR(32) DEFAULT '待审核',
+        transfer_bill_no VARCHAR(64) DEFAULT '',
+        transfer_status VARCHAR(32) DEFAULT '',
         apply_time DATETIME DEFAULT CURRENT_TIMESTAMP
       ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
     `);
@@ -216,6 +220,18 @@ export async function initDatabase(): Promise<void> {
     try {
       await conn.query('ALTER TABLE withdrawals ADD COLUMN reason VARCHAR(255) DEFAULT ""');
     } catch (_) {}
+    try {
+      await conn.query("ALTER TABLE withdrawals ADD COLUMN transfer_bill_no VARCHAR(64) DEFAULT ''");
+    } catch (_) {}
+    try {
+      await conn.query("ALTER TABLE withdrawals ADD COLUMN transfer_status VARCHAR(32) DEFAULT ''");
+    } catch (_) {}
+    try {
+      await conn.query("ALTER TABLE withdrawals ADD COLUMN payee_name VARCHAR(64) DEFAULT ''");
+    } catch (_) {}
+    try {
+      await conn.query("ALTER TABLE withdrawals ADD COLUMN payee_account VARCHAR(128) DEFAULT ''");
+    } catch (_) {}
 
     // 7.5 微信支付支付意图与对账表 (幂等入账的唯一依据)
     await conn.query(`
@@ -1048,6 +1064,19 @@ async function seedInitialDataIfEmpty(conn: any): Promise<void> {
         VALUES ('faq_list', '帮助中心与常见问题FAQ', ?, '小程序端帮助中心常见问答与指引', 1)
       `, [faqListVal]);
     }
+    // 修复：faq_list 若存在但为空数组（曾被"空保存"清空），自动回填默认种子，
+    // 避免小程序端只显示本地兜底文案、后台却为空。
+    try {
+      const [faqRows]: any = await conn.query("SELECT value_json FROM platform_configs WHERE config_key = 'faq_list' LIMIT 1");
+      const raw = faqRows && faqRows[0] && faqRows[0].value_json;
+      let parsed: any = raw;
+      if (typeof raw === 'string') {
+        try { parsed = JSON.parse(raw); } catch (_) { parsed = null; }
+      }
+      if (!Array.isArray(parsed) || parsed.length === 0) {
+        await conn.query("UPDATE platform_configs SET value_json = ? WHERE config_key = 'faq_list'", [faqListVal]);
+      }
+    } catch (_) {}
     if (!existingKeys.has('security_words')) {
       await conn.query(`
         INSERT INTO platform_configs (config_key, name, value_json, description, status)