feat(auth): 邮箱验证码注册，生产重新有了自助入口

短信登录关掉后，生产没有任何注册入口——这一版补上最普通的那条路：
填邮箱、收验证码、设密码，注册完直接进首页。

先发码再注册，不是"注册时顺带发信"

  POST /auth/email/code 只做三件事：查重、限流、发码。
  填完密码才被告知"这个邮箱注册过了"最气人，所以占用（2019）在发码前就回。

邮箱既是账号名也是唯一联系方式，所以必须真验一次码

  验证通过时间落 app_user.email_verified_at，/auth/me 回 email_verified。
  "随手填一个"会让账号变成没人能找回的孤岛。

app_user.phone 改为可空（迁移 0011）

  邮箱注册的账号本来就没有手机号。user.phone 对这类账号回空串，
  成员列表同理，不再伪装成一串星号。

防刷

  同邮箱 60 秒一次（2022）、验证码 10 分钟有效、错 5 次即作废（2021）。
  6 位数可以被刮，不设上限等于把注册口子交给脚本。

本机联调开关 EMAIL_CODE_DEV_ECHO

  为 true 时把码回给调用方且不发真信——否则每跑一次 e2e 就往真实收件箱塞一封。
  生产打开会让 validate_runtime() 拒绝启动。

前端

  新增 /register（邮箱、验证码、密码、确认、昵称；60 秒倒计时；
  服务端关着注册时整页只说"联系管理员开通"），登录页按 /auth/methods
  决定要不要显示「还没有账号？用邮箱注册」。

验证

  pytest 139 passed、ruff check / format 全绿
  tsc --noEmit 0、vite build 通过
  e2e register.mjs 7 项：登录页入口 → 拿码 → 注册落进首页 → 退出用邮箱+密码登回来
    → 同一邮箱再发码回 2019 → 控制台零报错
  e2e login-email-smtp.mjs 15 项回归通过（含真发一封测试信）
  e2e account.mjs 14 项、knowledge.mjs 全绿

顺带修的两处测试

  test_account 的字段白名单补 email_verified（接口确实多了这个字段）；
  test_config_prod 用 Settings(_env_file=None, ...) 构造，别被本机 .env 里的
  EMAIL_CODE_DEV_ECHO=true 带偏——那个开关在生产是硬错误，本机却是跑 e2e 必需的。

backend/app/config.py

@@ -85,6 +85,20 @@ class Settings(BaseSettings):
     smtp_use_ssl: bool = True
     smtp_timeout_seconds: int = 10
 
+    # ── 邮箱注册 ──────────────────────────────────────────
+    # 手机验证码关掉以后，新用户靠「邮箱 + 验证码」自己注册进来。
+    # 注册必须真的发出验证码（发信配置在「系统设置」里），所以这个开关跟 SMTP 是否配好绑定：
+    # 没配 SMTP 时发码接口会回 2020，而不是假装发出去。
+    email_register_enabled: bool = True
+    email_code_ttl_seconds: int = 600
+    # 同一邮箱两次发码的最小间隔；测试里设为 0 可关闭节流
+    email_code_throttle_seconds: int = 60
+    # 一个邮箱最多试错几次验证码，超了就作废（防止把 6 位数当彩票刮）
+    email_code_max_attempts: int = 5
+    # 开发/联调用：把验证码直接回给调用方，**不发真信**。
+    # 生产打开等于任何人都能注册任意邮箱，所以 validate_runtime() 会直接拒绝启动。
+    email_code_dev_echo: bool = False
+
     # ── 幂等 ──────────────────────────────────────────────
     idempotency_enabled: bool = True
     idempotency_ttl_seconds: int = 86_400
@@ -163,6 +177,11 @@ class Settings(BaseSettings):
                 "短信验证码登录开着（SMS_LOGIN_ENABLED=true），但 SMS_PROVIDER=dev 只会发固定验证码"
                 "（等于知道手机号就能进）；接真短信通道之前请把 SMS_LOGIN_ENABLED 关掉"
             )
+        if self.email_code_dev_echo:
+            problems.append(
+                "EMAIL_CODE_DEV_ECHO=true 会把注册验证码直接回给调用方，"
+                "等于任何人都能注册任意邮箱；生产必须关掉（只在本地联调时打开）"
+            )
         if problems:
             raise RuntimeError("配置校验失败：" + "；".join(problems))