feat: complete unified plugin admin v1.1.0

plugins/subscription-admin/README.md

@@ -1,6 +1,6 @@
 # Sub2API Subscription Admin Business Plugin V1
 
-这是一个独立运行的管理员只读业务插件，不是现有 `.s2plugin` transport 插件，也不是插件管理后台。它不导入 Sub2API `internal` 包，不连接 Core 数据库，也不修改 Core Go/Vue、迁移、路由或 `.s2plugin` ABI。
+这是一个可独立运行后端的管理员只读订阅业务模块，不是现有 `.s2plugin` transport 插件，也不是插件管理控制面。它不导入 Sub2API `internal` 包，不连接 Core 数据库，也不修改 Core Go/Vue、迁移、路由或 `.s2plugin` ABI。浏览器前端由 `plugin-admin` 统一 TDesign 控制面承载，订阅模块不提供第二个登录页或 Cookie。
 
 生产/集成环境由通用 `plugins/plugin-admin` 控制面安装、启用和升级本插件；本插件不会预装，也不会成为控制面首页。只有健康检查通过并由管理员执行菜单预览/应用后，Core 管理员菜单才会出现“订阅管理”入口。直接运行本目录仅用于本地开发和契约测试。
 
@@ -13,12 +13,12 @@ PLUGIN_PORT=8091 \
 go run .
 ```
 
-打开 `http://127.0.0.1:8091/admin/`。生产环境应通过 HTTPS 反向代理，并设置 `PLUGIN_COOKIE_SECURE=true`。挂载到子路径时同时设置 `PLUGIN_PUBLIC_BASE_PATH` 和 `PLUGIN_COOKIE_PATH`，例如 `/extensions/qiu.subscription-admin`。
+本地后端可打开 `http://127.0.0.1:8091/healthz` 进行服务契约调试；生产浏览器入口应从 Plugin Admin 的订阅模块路由进入。生产环境应通过 HTTPS 反向代理，并设置 `PLUGIN_COOKIE_SECURE=true`。默认情况下本服务只暴露健康检查、就绪检查和交接页，不暴露第二套登录、Cookie 或 Core 数据 API。`PLUGIN_STANDALONE_AUTH=true` 仅在 `PLUGIN_ENV=development` 且监听地址为 loopback 时生效，生产必须保持关闭。
 
 ## V1 范围
 
-- Core 管理员账号登录和 Core 2FA；普通账号统一拒绝。
-- 插件 HttpOnly、SameSite 会话和写请求 CSRF 校验。
+- 由 Plugin Admin 统一完成 Core 管理员账号登录和 Core 2FA；普通账号统一拒绝。
+- 订阅模块复用控制面的 HttpOnly、SameSite 会话和写请求 CSRF 校验，不创建模块级登录会话。
 - Core token 只保存在插件服务端内存会话中，不进入浏览器、URL、HTML、LocalStorage、响应或日志。
 - 只读套餐、订阅列表、订阅详情和插件操作记录。
 - Core access token 失效时最多刷新一次；刷新失败会销毁插件会话。
@@ -28,7 +28,7 @@ go run .
 
 ## Core API allowlist
 
-插件服务端仅调用这些明确路径：
+插件服务端在 `PLUGIN_STANDALONE_AUTH=true`、`PLUGIN_ENV=development` 且 loopback 的本地兼容模式下仅调用这些明确路径；生产数据访问由 Plugin Admin 同源 BFF 完成：
 
 ```text
 POST /api/v1/auth/login
@@ -54,13 +54,13 @@ GET  /api/v1/admin/users/{id}/subscriptions
 {
   "id": "qiu.subscription-admin",
   "label": "订阅管理",
-  "url": "https://CORE_ORIGIN/extensions/qiu.subscription-admin/",
+  "url": "https://CORE_ORIGIN/extensions/qiu.plugin-admin/admin/#/modules/subscription/overview",
   "visibility": "admin",
   "sort_order": 200
 }
 ```
 
-Core 自定义页面的 sandbox iframe 不会继承 Core `localStorage` 登录态，因此 V1 首屏显示插件登录页是预期行为；同时提供新窗口入口。不要把 JWT 放进 URL。
+Core 自定义页面的 sandbox iframe 不会继承 Core `localStorage` 登录态，因此菜单应指向 Plugin Admin 的统一控制面入口；订阅模块本身不显示登录页、不创建 Cookie。不要把 JWT 放进 URL。
 
 ## 测试
 
@@ -78,10 +78,13 @@ node --check ui/app.js
 ```
 
 脚本生成 `dist/qiu.subscription-admin.s2plugin`，包内根文件名为
-`manifest.json`，并包含清单声明哈希的 UI 文件。该插件采用外部服务模式：
+`manifest.json`，并包含清单声明哈希的 UI 文件。该模块采用外部服务模式：
 安装后先独立启动 `subscription-admin`，再在 `plugin-admin` 的配置中填写
-`service_url`（插件 loopback 地址）和 `public_url`（反向代理地址），然后执行
-启用、健康检查和菜单应用。生产环境必须把签名文件通过
+`service_url`（插件 loopback 地址），并为 Plugin Admin 设置
+`PLUGIN_PUBLIC_URL`（例如 `https://CORE_ORIGIN/extensions/qiu.plugin-admin`）。
+然后执行启用、健康检查和菜单应用。浏览器前端由 `plugin-admin` 统一挂载并共享
+控制面会话，菜单固定跳转到 `#/modules/subscription/overview`，不会跳转到本服务
+的登录页。生产环境必须把签名文件通过
 `SIGNATURE_FILE=/path/to/signature.json ./package.sh` 放入包内，并将对应公钥
 加入控制面受信发布者配置；未签名包仅限 development + loopback。
 
@@ -89,9 +92,23 @@ node --check ui/app.js
 
 `business-plugin-manifest.v1.json` 是部署层清单，不由 Core 读取。生产发布应由独立 CI 签名并校验清单、版本、健康路径和兼容的 Core 版本；不要把发布私钥放入仓库或插件包。插件版本独立于 `backend/cmd/server/VERSION`。
 
+发布构建必须显式启用签名门禁：
+
+```sh
+RELEASE_BUILD=true SIGNATURE_FILE=/secure/signature.json ./package.sh
+```
+
+脚本会把 `signature.json` 放入归档并生成同名 `.sha256` 校验文件；未签名包
+仅用于 development + loopback。
+
 ## 已知限制
 
-- V1 使用内存会话，服务重启会要求重新登录；多实例部署需将会话存储替换为插件自有 Redis/共享会话服务。
+- 模块后端是常驻服务，不需要每次使用后重启。Core access token 过期时，后端会
+  按需 refresh 并继续当前请求；只有 refresh 失效、Core 撤销管理员、会话
+  空闲超过 30 分钟或达到 8 小时绝对上限时才需要重新登录。
+- V1 控制面使用内存会话，控制面服务重启会要求重新登录一次；订阅模块不会
+  单独要求登录。多实例或跨重启免登录需将控制面会话存储替换为插件自有的
+  加密 Redis/共享会话服务。
 - 现有 Core 自定义 iframe 没有 token handoff，V1 不提供无感 SSO；真正 SSO 需要单独的 V1.1 Core 交接接口。
 - Core 当前套餐响应中的 `features` 可能是 JSON 字符串，UI 会兼容字符串和数组。
 - Core 开启验证码时，管理员必须先完成对应提供商的挑战并将结果填入登录表单；插件不保存验证码票据。