feat(notify): 新增站内消息通知中心（订阅消息兜底）+ 清理后台伪造数据

- 新表 user_notifications + 仓储方法(创建/列表/未读数/标记已读)
- 用户接口 GET /api/notifications、POST /api/notifications/read（生产需登录）
- 关键节点落库：订单开始服务/接单/拒单/申请完成/完成结算/提现到账/报名成功/退款受理
- 小程序新增「消息通知」页(pages/user/notifications) + 个人中心入口与未读角标；api.js 增加 getNotifications/markNotificationsRead
- 清理后台伪造数据：/api/user/certification 改空态、/api/user/my-project/list 改空数组、/api/user/info 去掉编造邮箱/电话/网址
- 更新 pages 数量断言(26→27)；新增回归护栏 notification-center.spec.ts（92 套件/658 用例全绿）；冒烟 9/9

docs/部署验收与1分钱支付闭环.md

@@ -150,6 +150,11 @@ MYSQL_DATABASE=peiwan
    - `40037` 排查：点后台「**拉取小程序模板列表（核对ID）**」，会显示当前 appId（脱敏）与其下真实存在的订阅消息模板；若后台填写的 ID 不在列表中，即为 appId 与建模板的小程序不一致（或用了公众号/服务号的模板ID）。用列表里的真实 ID 覆盖即可。
 6. 订阅消息为**一次性**：用户授权一次只能收 1 条；高频场景需每次动作前请求授权（代码已在下单/报名/提现前请求）。
 
+### 站内消息通知中心（已内置，无需额外配置）
+- 关键节点（订单开始服务/接单/拒单/申请完成/完成结算/提现到账/报名成功/退款受理）都会写入 `user_notifications`；
+- 小程序「个人中心 → 消息通知」可查看历史与未读数（`GET /api/notifications`、`POST /api/notifications/read`）；
+- 即使未授权微信订阅消息，用户仍能看到完整通知历史，作为订阅消息的兜底渠道。
+
 ### 限流与错误信息（已内置，无需额外配置）
 - **全局限流**：`/api` 每**用户**（未登录按 IP）1200 次/分钟；**写接口单独限流**：发帖 10/分、评论 20/分、组局申请 20/分、举报 5/分、上传 30/分、下单 20/分、支付下单 30/分、充值/提现 10/分、浏览 1 次/3 秒（同 IP+动态）。超限返回 HTTP `429` + `Retry-After`。
 - ⚠️ **反向代理务必透传真实客户端 IP**，否则限流会把所有用户并成一个 IP 桶：