fix(email): 开启 Email Routing 改用 PUT,并补上 zone-settings.write 权限

POST /zones/{id}/email/routing 不是有效路由,Cloudflare 返回
10405 Method not allowed for this authentication scheme。正确接口是
PUT /zones/{id}/email/routing(Apply Email Routing settings);
POST .../email/routing/enable 能用但官方已标 Deprecated。

该接口的 Accepted Permission 是 Zone Settings Write,而不是 Email Routing 权限族
—— 权限名和接口所属资源组对不上,Email Routing 四个权限全勾也不够。

- CF_OAUTH_SCOPES_DEFAULT / 探测候选集加 zone-settings.write;设置页文案同步
- cfapi 的 API 错误带上 Cloudflare 错误码(如 10405),便于区分路径错与权限错
- cf-mock 对非 PUT 的 /email/routing 返回 10405,旧写法会被打回
- 88/88 测试

docs/02_CLOUDFLARE_OAUTH.md

@@ -73,7 +73,20 @@ Cloudflare 第三方 OAuth 客户端的 scope 是 **点号分隔** 的 `<group>.
 | --- | --- | --- |
 | `zone.read` | Zone Read | 发现该账号下的域名,并顺带拿到账号 id 与账号名 |
 | `workers-scripts.write` | Workers Scripts Edit | 上传账号级 Email Worker 脚本 |
-| `email-routing-rule.write` | Email Routing Rules Edit | 开启 Email Routing + 配置 catch-all 规则 |
+| `email-routing-rule.write` | Email Routing Rules Edit | 配置 catch-all 规则指向 Worker |
+| `zone-settings.write` | Zone Settings Write | **开启 Email Routing**(见下) |
+
+**「开启 Email Routing」不归 Email Routing 权限管**(2026-09-30 实测):`PUT /zones/{id}/email/routing`
+的 Accepted Permission 是 **Zone Settings Write**。所以 Email Routing 那一族权限全勾上也不够,
+漏掉 `zone-settings.write` 会一直等到点「设置 Email Workers」才报出来。
+
+顺带两个接口层面的坑:
+
+- 开启 Email Routing 用 **`PUT /zones/{id}/email/routing`**(Apply Email Routing settings)。
+  `POST` 到同一路径不是有效路由,返回 `10405 Method not allowed for this authentication scheme`;
+  `POST .../email/routing/enable` 能用但官方已标 Deprecated。
+- catch-all 规则的请求体里,指向 Worker 的 action 是 `{ "type": "worker", "value": ["<脚本名>"] }`,
+  matchers 固定 `[{"type":"all"}]`。
 
 两个容易踩的点: