fix(order): 关闭按用户 id 撞库档案 id 的订单归属兜底，避免潜在越权读取

- getOrdersForUser/countOrdersForUser 仅按 companions.user_id 关联本人档案，不再使用 companions.id = 用户 id

- 补充回归断言；116 套件/758 用例全绿；线上已验证用户订单仍正常

server/tests/read-scope.spec.ts

@@ -25,6 +25,8 @@ describe('第十二批读接口数据隔离闸门 (订单 / 我的组局 / 分
       expect(block).toContain('buyer_id = ?');
       expect(block).toContain('claimed_by = ?');
       expect(block).toContain('companion_name IN (SELECT name FROM companions');
+      // 不得用「用户 id == 档案 id」做兜底归属，避免 id 撞号导致越权看到他人订单
+      expect(block).not.toContain('WHERE user_id = ? OR id = ?');
     });
 
     it('订单列表：管理端全量，普通用户仅本人相关', () => {