feat(integrations): 微信要先扫码配对，改成 iLink 扫码登录 + 长轮询

上一版按"webhook + URL 里带令牌"自己编了一套，用户当场指出微信必须先扫码配对。
现在照腾讯 iLink Bot 协议自己做客户端：取二维码 → 手机扫码确认 → 存加密登录态 →
后端长轮询收消息 → 用 context_token 回话。独立实现，不依赖 DSH 的运行环境。

后端
- wechat_ilink.py：get_bot_qrcode / get_qrcode_status / getupdates / sendmessage，
  bot_token 用 Fernet（密钥由 JWT_SECRET 派生）加密入库，日志与接口都不回明文
- wechat_intake.py：一句话 → 任务或知识草稿，前缀识别、#标签、首行标题
- wechat_bot.py：每条通道一个轮询任务，启动时按 status='active' 恢复；
  message_id 去重；errcode -14 转 expired 让用户重新扫
- api/integrations.py 重写成扫码三接口 + 停用/断开/最近消息
- 迁移 0013（登录态列）、0014（轮询入口按 app.bot_channel 主键的 RLS 口子）

Web
- 接入页改成扫码流程：页面里画出二维码、每 2 秒问一次状态、连上显示微信用户与最近消息

验证
- pytest 149 passed（新增 test_wechat_bot 9 例）
- ruff check / ruff format --check 干净；tsc 0；vite build ✓
- web/e2e/integrations.mjs 7 项 ALL PASS（拿的是微信真二维码）

教训：接入第三方协议先去已有实现里找协议，别从直觉倒推。

backend/app/config.py

@@ -145,6 +145,9 @@ class Settings(BaseSettings):
     # 生产没有 nginx 时由后端直接托管前端构建产物（同源，/api 无跨域）。
     # 指向 web/dist 的绝对路径；留空则只提供 API。
     web_dist_dir: str | None = None
+    # 回复微信消息时用的站点地址（形如 http://192.168.8.188:8200，不带 /api/v1）。
+    # 留空则退回 cors_origins 的第一个，本机开发够用，生产务必显式配。
+    public_base_url: str | None = None
 
     # ── 安卓安装包（OTA）──────────────────────────────────
     # 放 latest.json + 对应 apk 的目录；留空则用 backend/static/apk。