feat(t226): add Go ERP session login

docs/api.md

@@ -216,6 +216,34 @@ Connector 是 loopback 内部服务，不复用 ADMIN/BUYER 凭证。除 `/healt
 不得返回 receiver、receiverTel、receiverAddr、Cookie、JWT、ERP 用户资料或完整原始
 对象。多商品必须全部保留；缺失详情返回协议错误，不允许部分成功。
 
+### Go ERP 会话（T-226）
+
+以下接口均要求 ADMIN session；所有 `POST` 还要求现有 `X-CSRF-Token` 与 CSRF
+Cookie。它们只管理单个后端进程内的顺运宝会话，不创建货运同步，也不下发 ERP 账号、
+密码、Cookie、JWT、完整用户资料或原始响应。
+
+| 接口 | 说明 |
+| --- | --- |
+| `GET /api/v1/erp-session` | 返回 `configured`、`authenticated`、`captcha_ready` 三个布尔状态。 |
+| `POST /api/v1/erp-session/captcha` | 同一服务端 Cookie jar 获取一次验证码，返回短期 `captcha_ticket` 和仅供当前 ADMIN 读取图片的 `captcha_url`。 |
+| `GET /api/v1/erp-session/captcha/{ticket}` | 返回 `image/*` 验证码，始终 `Cache-Control: no-store`。ticket 过期或不匹配返回稳定匿名错误。 |
+| `POST /api/v1/erp-session/login` | 仅接受 `{"captcha_ticket":"...","captcha_code":"..."}`，使用启动环境中的账号/密码完成登录和用户校验。 |
+
+成功状态响应不包含 ticket，验证码接口以外也不会返回验证码图片。稳定错误为
+`ERP_NOT_CONFIGURED`、`ERP_SESSION_REQUIRED`、`ERP_CAPTCHA_INVALID`、
+`ERP_LOGIN_REJECTED`、`ERP_RESPONSE_INVALID` 和 `ERP_UNAVAILABLE`；均不包含 ERP
+正文或凭证。管理员 Web 的等价入口为 `/erp`、`/erp/captcha` 和 `/erp/login`，表单没有
+账号或密码字段。
+
+启动环境变量：
+
+- `CMROUBAO_SHUNYUNBAO_URL`：默认 `https://www.shunyunbaoerp.com`；只接受无路径、
+  userinfo、query 或 fragment 的 HTTPS origin。
+- `CMROUBAO_SHUNYUNBAO_USERNAME` 与 `CMROUBAO_SHUNYUNBAO_PASSWORD`：必须同时设置；
+  为空时连接页明确显示未配置，服务进程仍可用于其他本地功能。
+
+会话不写 SQLite、不加载 `.env`、不使用 OCR 或 Redis；服务重启后必须重新人工登录。
+
 ### `POST /api/v1/freight-syncs`
 
 ADMIN 创建异步同步记录，必须带 `Idempotency-Key`：