feat: improve commerce checkout flow

docs/refactor/backend-progress.md

@@ -11,7 +11,7 @@
   - `profile`：学生个人中心、目标院校/专业、会员状态、统计聚合、最近练习、考试倒计时、签到积分、题目反馈。
   - `scoreline`：分数线字段、院校、专业、记录、趋势、年份。
   - `video`：题目视频讲解、批量预加载、通用视频搜索。
-  - `commerce`：订单、支付确认、激活码兑换、权益查询。
+  - `commerce`：订单创建/列表/详情/状态轮询、支付确认、支付 provider/webhook、激活码预检查/兑换、优惠券领取/抵扣、权益查询。
   - `referral`：销售/代理邀请码、首绑客资保护、销售统计、团队关系、CRM 队列。
   - `platform-admin`：平台方租户管理、SaaS 套餐、订阅、账单、服务费收款、使用量。
   - `tenant-admin`：租户资料、品牌、公开设置、域名、支付账户、登录 provider、私密密钥掩码、活动内容、考试日期、题目反馈处理、激活码批次、优惠券、成员管理、角色模板、班级/学生/教师范围权限、权限矩阵、审计查询。
@@ -127,8 +127,15 @@ PUT  /api/tenant-content/handbook-chapters
 PUT  /api/tenant-content/handbook-entries
 POST /api/commerce/orders
 GET  /api/commerce/orders
+GET  /api/commerce/orders/detail
+GET  /api/commerce/orders/status
+POST /api/commerce/payments/create
 POST /api/commerce/payments/manual-confirm
+POST /api/commerce/payments/notify/wechat_pay
+POST /api/commerce/payments/notify/alipay
+POST /api/commerce/activation-codes/check
 POST /api/commerce/activation-codes/redeem
+POST /api/commerce/coupons/claim
 GET  /api/commerce/entitlements
 GET  /api/commerce/entitlements/check
 POST /api/referral/invite-code
@@ -209,7 +216,9 @@ GET  /api/tenant-admin/audit-logs
 - `platform-admin` 已支持平台管理员 Supabase JWT；`x-platform-admin-key` 只作为非生产兼容保护。
 - B 端合作商年费/服务费使用 `tenant_invoices`、`tenant_invoice_items`、`tenant_invoice_payments`，不与 C 端学生订单混表。
 - 订单金额以后端套餐价格为准，不信任前端传价。
-- 激活码兑换和支付成功都走同一套 `grantSvipEntitlement` 权益开通逻辑。
+- 激活码兑换、支付成功和零元优惠订单都走同一套 `grantSvipEntitlement` 权益开通逻辑。
+- 优惠券领取同用户同券幂等；下单后优惠券 redemption 会绑定订单并进入 `used`，订单明细会写入负数 `coupon_discount` 项。
+- `/api/commerce/payments/manual-confirm` 是线下收款/迁移期能力，只允许租户后台具备 `tenant:payment:write` 的成员调用，普通学生不能伪造手工支付成功。
 - 租户支付账户、短信、OAuth 登录配置接口只保存公开配置；密钥进入 `app_private.tenant_secrets` 或生产 KMS/Vault，API 只返回 `secretRef` 和掩码状态。
 - `tenant-admin` 采用角色默认权限 + `tenant_memberships.permissions` 覆盖的权限矩阵。成员可进入后台，但每个接口会校验具体权限点；学生和跨租户成员会被拒绝。
 - 当前默认角色：`tenant_owner`/`tenant_admin` 全权限，`tenant_operator` 可维护内容和活动，`teacher` 可维护内容并按班级范围查看学生，`sales` 可维护激活码和优惠券，`agent` 只读部分兑换码/优惠券。
@@ -227,7 +236,7 @@ GET  /api/tenant-admin/audit-logs
 1. 完善内容导入和文件上传：Excel/CSV、分数线、视频导入，对象存储上传后校验、PDF 预览、防盗链和视频水印。
 2. 接入真实短信 provider：阿里云/腾讯云，密钥放 `app_private.tenant_secrets` 或生产 Vault。
 3. 接入真实 OAuth provider：微信网页、微信小程序、QQ，并处理旧 PocketBase 身份映射。
-4. 增加真实支付 provider：XPay、微信支付、支付宝，并完善 webhook 幂等。
+4. 补退款、支付补偿任务、对账、异常订单处理和优惠券核销报表。
 5. 增加 `apps/worker`：支付补偿、CRM webhook、日报统计、导入后检查。
 6. 开始 Taro scaffold，把 `supabaseApi` 抽到跨端包或适配层。