security: /api/health 暴露运行模式与沙箱支付开关（便于发现生产跑成 development）

- health 新增 mode(production/development) 与 sandboxPayAllowed
- 便于部署自检：非 production 时身份校验放宽且允许沙箱支付，属资损级配置风险
- 新增 runtime-mode-selfcheck.spec.ts（102 套件/691 用例全绿）

server/src/index.ts

@@ -202,6 +202,9 @@ app.get('/api/health', (_req: Request, res: Response) => {
     database: 'connected',
     uptime: process.uptime(),
     build: '2026-10-19',
+    // 运行模式自检：非 production 时用户身份校验会放宽、且允许沙箱支付（严禁用于公网）
+    mode: IS_PRODUCTION ? 'production' : 'development',
+    sandboxPayAllowed: ALLOW_SANDBOX_PAY,
     features: {
       userToken: true,
       adminPasswordGate: true,