feat: v2.0.0 邮件接收架构改造 —— 移除 Node,Email Worker 直连 Console(docs/11)

- 两阶段接收:POST /internal/email/authorize(accept/reject/temporary_error)+ POST /internal/email/ingest(raw MIME 直传)
- Worker-Console 协议:Authorization: WmailHub-Worker + timestamp/nonce/body-hash/HMAC,nonce 防重放,凭据撤销即时生效
- 数据模型:nodes/node_credentials -> cloudflare_accounts/worker_credentials(迁移 0003),emails/domains 归属 account_id
- 接入流程 Connect Cloudflare Account:OAuth 自动同步域名 + 部署账号级 Email Worker + 签发 Worker 凭据;rotate 自动重部署
- 动态邮箱:创建/删除/禁用下一封邮件立即生效;拒绝码 DOMAIN_*/MAILBOX_*;超时/5xx 不伪装成邮箱不存在
- 删除 node/ 目录、旧 /api/internal/nodes 协议、ingress/enrollment 概念;dev.ts 简化为 console + email worker 双进程
- 前端:账号页 Email Worker/凭据管理,设置窗口移除默认 Ingress,仪表盘/文案同步;版本 2.0.0
- 测试 62 项全过(新增 authorize 决策矩阵 + Worker 两阶段临时错误语义);本机虚拟 E2E 12 场景全通
- docs 00-10 同步改写;README 更新

docs/09_CLOUDFLARE_DEPLOYMENT.md

@@ -1,33 +1,54 @@
-# Cloudflare 部署设计
+# Cloudflare 部署设计(v2,docs/11 §12)
 
 ## 服务
 
-第一版目标使用 Cloudflare Workers、Email Workers / Email Routing、D1、R2、Cron Triggers、OAuth；Queues 在需要可靠异步投递时再加入，并以当前 Cloudflare 限制为准。
+使用 Cloudflare Workers、Email Workers / Email Routing、D1、R2、Cron Triggers、OAuth;
+Queues 在需要可靠异步投递时再加入,并以当前 Cloudflare 限制为准。
 
 ## Console
 
-Console 本身部署在 Cloudflare Workers：
+Console 本身部署在 Cloudflare Workers:
 
 ```text
 Worker
   +-- Frontend Assets
   +-- Management API
+  +-- /internal/email/authorize + /internal/email/ingest(Email Worker 专用)
   +-- OAuth Callback
   +-- Cron Handler
 ```
 
-## Node
+部署步骤:`bunx wrangler d1 create wmailhub` -> `wrangler r2 bucket create` ->
+`wrangler d1 execute wmailhub --remote --file=./migrations/0001_init.sql`(以及 0002/0003)->
+`wrangler secret put SESSION_SECRET` -> 配置 CF_OAUTH_CLIENT_ID/SECRET/REDIRECT_URI vars。
+PUBLIC_BASE_URL 即 Email Worker 里的 CONSOLE_URL。
 
-Node 是独立纯后端程序，无前端。可以部署在用户服务器、云服务器或其他可访问 Console 的环境，但 Cloudflare Email Worker 必须能访问 Node ingress。
+## Email Routing 与 catch-all Worker(动态邮箱)
+
+动态邮箱场景把域名邮件通过 catch-all 规则交给 WmailHub Email Worker:
+
+```text
+*@example.com
+    |
+    v
+WmailHub Email Worker -> Console(authorize)
+    +-- accept -> ingest
+    +-- reject -> message.setReject()
+```
+
+这样即使 unknown@example.com 在 Console 中不存在,也会进入 Worker,
+由 Console 判断后执行 `message.setReject()`。如果只为现有邮箱创建 literal routing,
+不存在的地址可能根本不会进入 Worker,WmailHub 无法完成 SMTP 阶段拒绝。
+Console 的「域名 -> 设置 Email Workers」会自动完成:开启 Email Routing + catch-all 指向 Worker。
 
 ## Email Worker
 
-Email Worker 只接收 Email Event 并安全转发到 Node，不保存业务数据库。
+账号级一个 Worker(名字 wmailhub-email-<account_id>),脚本由 Console 自动上传,
+内含 CONSOLE_URL / WORKER_ID / WORKER_SECRET;只做 authorize + ingest + setReject,
+不保存业务数据。
 
 ## R2
 
-用于 raw MIME 和 attachments：
-
 ```text
 emails/{yyyy}/{mm}/{dd}/{email_id}/raw.eml
 emails/{yyyy}/{mm}/{dd}/{email_id}/attachments/{attachment_id}
@@ -35,8 +56,11 @@ emails/{yyyy}/{mm}/{dd}/{email_id}/attachments/{attachment_id}
 
 ## D1
 
-保存 nodes、domains、mailboxes、emails、webhooks、webhook deliveries、oauth connections。
+保存 cloudflare_accounts、domains、mailboxes、emails、email_attachments、
+webhook_deliveries、oauth_connections、worker_credentials、users、settings、api_credentials、
+nonces、oauth_states。
 
 ## Cron
 
-至少实现 cleanup job，建议每 15 分钟一次，具体以当前 Cloudflare 限制调整。
+至少实现 cleanup job(过期邮件 + orphan + nonce/state 清理),建议每 15 分钟一次;
+webhook 重试每 1 分钟,具体以当前 Cloudflare 限制调整。