v4.3 安全修复+代码质量+测试体系+护城河验证

## 安全修复 (5项)
- CRITICAL JWT 硬编码 fallback（jwt.strategy / app.module / user.module）
- HIGH seed_admin.js MongoDB 凭据泄漏
- MEDIUM 邮箱验证码泄漏
- MEDIUM 支付订单查询 IDOR
- MEDIUM 管理后台 NoSQL 注入

## 代码质量 (14处)
- console.log→Logger（user.service.ts）
- as any 类型化（11处跨7个文件）
- Schema 联合类型修复（progress.schema）
- Module 依赖缺失修复（progress.module）

## 测试体系 (61项)
- 后端单元测试 Jest（43项）：BenchmarkService/UserService/PaymentController
- 后端集成测试 Supertest（11项）：API 认证/支付/进度/管理
- 前端单元测试 Vitest（7项）：配置文件/API端点
- 浏览器自动化 Playwright（7项）：API smoke test
- 覆盖率报告 + e2e 配置

## 护城河 P0-P5 启动验证通过 + 编译通过

backend/src/modules/user/user.service.ts

@@ -1,5 +1,5 @@
 import * as bcrypt from 'bcrypt'
-import { Injectable, HttpException, HttpStatus } from '@nestjs/common'
+import { Injectable, HttpException, HttpStatus, Logger } from '@nestjs/common'
 import { InjectModel } from '@nestjs/mongoose'
 import { Model } from 'mongoose'
 import { JwtService } from '@nestjs/jwt'
@@ -12,6 +12,8 @@ const emailCodeStore = new Map<string, { code: string; expiresAt: number }>()
 
 @Injectable()
 export class UserService {
+  private readonly logger = new Logger(UserService.name)
+
   constructor(
     @InjectModel(User.name) private userModel: Model<UserDocument>,
     private jwtService: JwtService,
@@ -26,7 +28,7 @@ export class UserService {
     codeStore.set(phone, { code, expiresAt: Date.now() + 5 * 60 * 1000 })
 
     if (process.env.NODE_ENV !== 'production') {
-      console.log(`[DEV] Verification code for ${phone}: ${code}`)
+      this.logger.log(`Verification code for ${phone}: ${code}`)
     }
     return { message: '验证码已发送' }
   }
@@ -87,9 +89,11 @@ export class UserService {
     if (sent) {
       return { message: '验证码已发送到邮箱' }
     }
-    // 邮件发送失败时返回 devCode 方便调试
-    console.log(`[EMAIL] Dev code for ${email}: ${code}`)
-    return { message: '验证码已发送（邮件服务暂不可用，开发模式）', devCode: code }
+    if (process.env.NODE_ENV !== 'production') {
+      this.logger.log(`Email code for ${email}: ${code}`)
+      return { message: '验证码已发送（邮件服务暂不可用，开发模式）', devCode: code }
+    }
+    return { message: '验证码已发送，请查收邮件' }
   }
 
   async loginByEmail(email: string, code: string) {