feat(auth): 注册页人机验证 + 邮箱验证码；品牌标识去 DeepSeek（附域名迁移线 序㊿ 补提交）

三条线合并入库 —— 均已完成并上线（源码与生产一致，此前只部署未入仓）。
⚠️ 其中域名迁移线为**另一会话**产出，本会话只做入库、**未复验其正确性**（它自报零回归）。

【档案 134 · 注册页人机验证 + 邮箱验证码】
- DB 迁移 v10：users.email（唯一索引 LOWER(email)）+ email_codes 事件表（2 索引）
- 新增模块 src/web/{register-guard,mail,turnstile,email-code}.ts
- routes/auth.ts：新增 GET /api/auth/register/config、POST /api/auth/register/email-code；
  注册接口加人机验证与验证码校验；config.ts 新增 12 项配置（默认空 ⇒ 不配 = 老行为）
- 邮件走**可插拔驱动**（brevo/http/log），发件人 [email protected]（Brevo 域名已认证 + DKIM + SPF）
- 防爆破：三层配额（邮箱 6/h、8/天；IP 20/h；全局 200/h）+ 递增冷却阶梯
  （60→60→180→300→900→1800s）+ 试错 5 次作废 + 码只存哈希 + 单次使用 + 与用户名绑定
- Turnstile 服务端校 **success + action + hostname 三项**：sitekey 是公开的，
  只校 success 时"拿我们的 sitekey 在自己站点替真人取合法 token 再打我们接口"这条路是通的
- 新增 test/register-guard.test.mjs（19 用例）

【档案 137 · 品牌标识改造 — 去 DeepSeek 图形】
- login/register/admin 页头：删 DeepSeek 鲸鱼图标 + 「DeepSeek」文字图形
  → 平台标识（中文「能力枢纽」／英语及其他语言「CapabilityNet」，走 i18n 词条 brand.name）
- portal 顶栏换图标（页面名「管理门户」保留）
- 新建 web/favicon.svg（平台自有 hub 图标，避开 DeepSeek 蓝）+ 四页 favicon 指向它
- 新增 test/i18n-brand.test.mjs（node:vm 跑真实 i18n.js，六条语言路径断言渲染结果）
- scripts/verify-static.mjs 新增 SVG 段：XML 注释不得含 ASCII 双连字符（否则整份 SVG
  解析失败、图标静默不显示 —— 实际踩到过）
- 🔴 会话页面（实例内官方 dsh 界面）的标识**按用户要求未动**（也受 R2 约束）

【档案 135/136 · 域名迁移线（另一会话产出）】
- 域名收敛为 ai1net.com；旧域 alotbuy.com 降级为 301 过渡装置
- src/net/relay/{addr-override,directory,rendezvous,switcher}.ts 种子与候选链更新；
  src/web/server.ts、src/worker/relay-tunnel.ts、scripts/verify-cluster-domain.mjs
- 档案 136 = 控制面按两台中继取并集（**已立项、未落地**）

验证（本会话两条线）：新增单测 21 条全通过｜全量 221 pass / 0 fail / 1 skipped｜
verify-static 全合格｜其余 10 个 verify 脚本全 OK｜线上实测：Turnstile 假 token 403、
发码 delivered、四页 deepseek 命中 0、favicon 200。

test/overlay-bootstrap.test.mjs

@@ -126,7 +126,7 @@ function refusingFetch(calls) {
 
 test('B1 纯函数：载荷稳定、路径派生、地址清洗', () => {
   // 同源约定：引导地址（中继入口）→ 目录端点 = 同 origin + 固定路径
-  assert.equal(directoryUrlFor('https://alotbuy.com/dshs-relay'), `https://alotbuy.com${DIRECTORY_PATH}`)
+  assert.equal(directoryUrlFor('https://ai1net.com/dshs-relay'), `https://ai1net.com${DIRECTORY_PATH}`)
   assert.equal(directoryUrlFor('http://127.0.0.1:8080/dshs-relay'), `http://127.0.0.1:8080${DIRECTORY_PATH}`)
   // 已经是目录地址 ⇒ 原样
   assert.equal(directoryUrlFor(`https://a.example${DIRECTORY_PATH}`), `https://a.example${DIRECTORY_PATH}`)
@@ -134,7 +134,7 @@ test('B1 纯函数：载荷稳定、路径派生、地址清洗', () => {
   assert.equal(directoryUrlFor('wss://a.example/dshs-relay'), `https://a.example${DIRECTORY_PATH}`)
 
   // 中继地址归一化：只改协议、⛔ 不动 path（`/dshs-relay` 是 nginx location 的判据）
-  assert.equal(toRelayUrl('https://alotbuy.com/dshs-relay'), 'wss://alotbuy.com/dshs-relay')
+  assert.equal(toRelayUrl('https://ai1net.com/dshs-relay'), 'wss://ai1net.com/dshs-relay')
   assert.equal(toRelayUrl('http://127.0.0.1:20080/dshs-relay'), 'ws://127.0.0.1:20080/dshs-relay')
   assert.equal(toRelayUrl('wss://a.example/x'), 'wss://a.example/x')
   assert.equal(toRelayUrl('file:///etc/passwd'), undefined, '非 http/ws 协议必须拒绝')
@@ -178,20 +178,20 @@ test('B1 纯函数：载荷稳定、路径派生、地址清洗', () => {
       'http://100.64.7.7/dshs-relay',
       'http://relaybox/dshs-relay',
       'http://[::1]/dshs-relay',
-      'https://alotbuy.com/dshs-relay',
+      'https://ai1net.com/dshs-relay',
       'https://relay.example.com/dshs-relay',
     ]),
-    ['https://alotbuy.com/dshs-relay', 'https://relay.example.com/dshs-relay'],
+    ['https://ai1net.com/dshs-relay', 'https://relay.example.com/dshs-relay'],
   )
 
   // 常量位：只锚一条、指向**已持证书的门户**（第二地域留空 ⇒ 不新增域名成本）
-  assert.equal(DEFAULT_OVERLAY_SEED, 'https://alotbuy.com/dshs-relay')
+  assert.equal(DEFAULT_OVERLAY_SEED, 'https://ai1net.com/dshs-relay')
 
   // 语义去重：`wss://host/dshs-relay` 与 `https://host/dshs-relay` 是**同一个端点**（都走 443）
   // ⇒ 目录里只该出现第一条（否则读目录的人会以为有两个中继）
   assert.deepEqual(
-    publicRelayEntries(['wss://alotbuy.com/dshs-relay', 'https://alotbuy.com/dshs-relay']),
-    ['wss://alotbuy.com/dshs-relay'],
+    publicRelayEntries(['wss://ai1net.com/dshs-relay', 'https://ai1net.com/dshs-relay']),
+    ['wss://ai1net.com/dshs-relay'],
   )
   // …而 `http://`（80）与 `wss://`（443）**不是**同一个端点 ⇒ 两条都留
   assert.deepEqual(publicRelayEntries(['wss://a.example/x', 'http://a.example/x']), [
@@ -210,7 +210,7 @@ test('B1 纯函数：载荷稳定、路径派生、地址清洗', () => {
 test('B2 验签：正例通过；改内容 / 换密钥 / 无受信密钥一律拒绝', () => {
   const keys = makeKeys()
   const other = makeKeys()
-  const origin = 'https://alotbuy.com/dshs-relay'
+  const origin = 'https://ai1net.com/dshs-relay'
   const { doc, sig } = signedDoc(origin, keys.privatePem)
 
   // 正例：PEM 与**裸 32 字节 hex**两条解析路径都要能验
@@ -248,7 +248,7 @@ test('B2 验签：正例通过；改内容 / 换密钥 / 无受信密钥一律
 
 test('B3 决策：env 压制一切 / 新鲜缓存不联网 / 取不到则降级', async () => {
   const keys = makeKeys()
-  const seed = 'https://alotbuy.com/dshs-relay'
+  const seed = 'https://ai1net.com/dshs-relay'
 
   // ① env 显式 ⇒ 压制引导链（**一次网络都不发**）
   {
@@ -279,7 +279,7 @@ test('B3 决策：env 压制一切 / 新鲜缓存不联网 / 取不到则降级'
         fetchImpl: refusingFetch(calls),
       })
       assert.equal(r.source, 'cache')
-      assert.equal(r.url, 'wss://alotbuy.com/dshs-relay')
+      assert.equal(r.url, 'wss://ai1net.com/dshs-relay')
       assert.deepEqual(calls, [], '新鲜缓存不许联网')
     } finally {
       rmSync(dir, { recursive: true, force: true })
@@ -298,7 +298,7 @@ test('B3 决策：env 压制一切 / 新鲜缓存不联网 / 取不到则降级'
         fetchImpl: refusingFetch(calls),
       })
       assert.equal(r.source, 'seed-fallback')
-      assert.equal(r.url, 'wss://alotbuy.com/dshs-relay')
+      assert.equal(r.url, 'wss://ai1net.com/dshs-relay')
       assert.ok(calls.length >= 1, '应当尝试过取目录')
       assert.equal(existsSync(file), false, '取不到目录**不许**留下缓存')
     } finally {
@@ -320,7 +320,7 @@ test('B3 决策：env 压制一切 / 新鲜缓存不联网 / 取不到则降级'
         fetchImpl: refusingFetch([]),
       })
       assert.equal(r.source, 'stale-cache')
-      assert.equal(r.url, 'wss://alotbuy.com/dshs-relay')
+      assert.equal(r.url, 'wss://ai1net.com/dshs-relay')
       // 缓存**被改坏 / 换了密钥** ⇒ 当作没有缓存（读也要验签）
       assert.equal(readCachedDirectory(file, [makeKeys().publicPem], Date.now()), undefined)
     } finally {
@@ -685,8 +685,8 @@ test('序④·L1-E 撤销后回到未配状态（可回滚）', async () => {
  * **同源优先**（序④）：没有它，「多一条兜底入口」落不成「CF / 门户 conf 挂时还能连」——
  * `relays[]` 首位 = 主入口，客户端会一直去连它，兜底项永远轮不到。
  */
-const FB_MAIN = 'https://alotbuy.com/dshs-relay'
-const FB_ALT = 'https://relay-direct.alotbuy.com/dshs-relay'
+const FB_MAIN = 'https://ai1net.com/dshs-relay'
+const FB_ALT = 'https://relay-direct.ai1net.com/dshs-relay'
 
 /** 造一份"两个入口都在"的目录，并只让**兜底 origin** 答得出（主 origin 抛错）。 */
 function twoEntryDoc(keys) {
@@ -704,7 +704,7 @@ test('序④·L1-F 同源优先：主 origin 不可达时采用兜底 origin 的
   const logs = []
   const fetchImpl = async (url) => {
     calls.push(String(url))
-    if (String(url).startsWith('https://alotbuy.com/')) throw new Error('cf unreachable')
+    if (String(url).startsWith('https://ai1net.com/')) throw new Error('cf unreachable')
     return new Response(body, { status: 200, headers: { 'content-type': 'application/json' } })
   }
   const r = await resolveOverlayRelay({
@@ -717,14 +717,14 @@ test('序④·L1-F 同源优先：主 origin 不可达时采用兜底 origin 的
   // ① 逐个 origin 试，主 origin 被拒后才到兜底
   assert.equal(calls.length, 2)
   assert.ok(
-    logs.some((l) => l.includes('拒绝 https://alotbuy.com/dshs-overlay/bootstrap')),
+    logs.some((l) => l.includes('拒绝 https://ai1net.com/dshs-overlay/bootstrap')),
     '缺"逐 origin 拒绝原因"这一行',
   )
   // ② 采用的是**兜底项**，而不是 relays[] 首位（这是本单 D6 的实质判据）
   assert.equal(r.source, 'seed-directory')
-  assert.equal(r.url, 'wss://relay-direct.alotbuy.com/dshs-relay')
+  assert.equal(r.url, 'wss://relay-direct.ai1net.com/dshs-relay')
   assert.ok(
-    logs.some((l) => l.includes('同源优先') && l.includes('wss://relay-direct.alotbuy.com/dshs-relay')),
+    logs.some((l) => l.includes('同源优先') && l.includes('wss://relay-direct.ai1net.com/dshs-relay')),
     '缺"为什么走了兜底"这一行（可解释性）',
   )
 })
@@ -742,6 +742,6 @@ test('序④·L1-G 主 origin 通时选择与今天逐字一致（relays[] 首
     fetchImpl,
     log: (l) => logs.push(l),
   })
-  assert.equal(r.url, 'wss://alotbuy.com/dshs-relay')
+  assert.equal(r.url, 'wss://ai1net.com/dshs-relay')
   assert.equal(logs.some((l) => l.includes('同源优先')), false, '首位命中时不该有多余日志')
 })