feat: v2.0.0 邮件接收架构改造 —— 移除 Node,Email Worker 直连 Console(docs/11)

- 两阶段接收:POST /internal/email/authorize(accept/reject/temporary_error)+ POST /internal/email/ingest(raw MIME 直传)
- Worker-Console 协议:Authorization: WmailHub-Worker + timestamp/nonce/body-hash/HMAC,nonce 防重放,凭据撤销即时生效
- 数据模型:nodes/node_credentials -> cloudflare_accounts/worker_credentials(迁移 0003),emails/domains 归属 account_id
- 接入流程 Connect Cloudflare Account:OAuth 自动同步域名 + 部署账号级 Email Worker + 签发 Worker 凭据;rotate 自动重部署
- 动态邮箱:创建/删除/禁用下一封邮件立即生效;拒绝码 DOMAIN_*/MAILBOX_*;超时/5xx 不伪装成邮箱不存在
- 删除 node/ 目录、旧 /api/internal/nodes 协议、ingress/enrollment 概念;dev.ts 简化为 console + email worker 双进程
- 前端:账号页 Email Worker/凭据管理,设置窗口移除默认 Ingress,仪表盘/文案同步;版本 2.0.0
- 测试 62 项全过(新增 authorize 决策矩阵 + Worker 两阶段临时错误语义);本机虚拟 E2E 12 场景全通
- docs 00-10 同步改写;README 更新

docs/02_CLOUDFLARE_OAUTH.md

@@ -1,11 +1,34 @@
-# Cloudflare OAuth 与自动安装
+# Cloudflare OAuth 与自动接入(docs/11 §14)
 
-Console 的 Add Node 入口必须打开 Cloudflare OAuth 授权页面。用户授权后，Console 通过 Cloudflare API 自动完成 Node、Email Worker、Domain、Mailbox 的配置。
+旧「Add Node」概念已删除,改为 **Connect Cloudflare Account**。
 
-用户不执行 shell 安装命令，也不手工创建 API Token。
+## 流程
 
-流程：Console -> Add Node -> Cloudflare OAuth -> 授权回调 -> 获取 Account/Zone -> 创建 Node Identity -> 创建 Node Credential -> 创建或更新 Email Worker -> 配置 Email Routing -> 创建 Domain/Mailbox -> Node Ready。
+```text
+Console
+   |
+   v
+Cloudflare OAuth
+   |
+   v
+用户授权 Account
+   |
+   v
+Console
+   +-- 保存 Account
+   +-- Account / Zone 发现
+   +-- 配置 Domain(同步账号下全部域名,pending)
+   +-- 创建 catch-all Mailbox
+   +-- 部署账号级 Email Worker
+   +-- 签发 WorkerCredential(secret 注入 Worker 脚本)
+```
 
-Cloudflare credential 与 Node credential 必须分离。Cloudflare credential 加密存储，不进入前端和日志。
+用户不需要执行安装命令,也不手工创建 API Token。
 
-安装过程必须幂等，重复执行不能创建重复资源。OAuth state、授权回调和 Account ownership 必须验证。
+## 安全
+
+- Cloudflare credential(OAuth access token)AES-GCM 加密存储,不进入前端和日志。
+- OAuth state 一次性(用后即删)、5 分钟过期、绑定账号(CSRF 防护)。
+- Account ownership 以 token 实际可访问的 accounts 为准。
+- 安装过程幂等,重复执行不产生重复资源。
+- Worker credential 与 Cloudflare credential 分离;轮换 credential 后已配置域名自动重新部署。