feat(t230): use OCR for ERP session login

docs/api.md

@@ -198,24 +198,11 @@ T-203 成功返回 `201`。使用相同 `Idempotency-Key` 和相同图片内容
 不得返回 receiver、receiverTel、receiverAddr、Cookie、JWT、ERP 用户资料或完整原始
 对象。多商品必须全部保留；缺失详情返回协议错误，不允许部分成功。
 
-### Go ERP 会话（T-226）
+### Go ERP 会话（T-230）
 
-以下接口均要求 ADMIN session；所有 `POST` 还要求现有 `X-CSRF-Token` 与 CSRF
-Cookie。它们只管理单个后端进程内的顺运宝会话，不创建货运同步，也不下发 ERP 账号、
-密码、Cookie、JWT、完整用户资料或原始响应。
-
-| 接口 | 说明 |
-| --- | --- |
-| `GET /api/v1/erp-session` | 返回 `configured`、`authenticated`、`captcha_ready` 三个布尔状态。 |
-| `POST /api/v1/erp-session/captcha` | 同一服务端 Cookie jar 获取一次验证码，返回短期 `captcha_ticket` 和仅供当前 ADMIN 读取图片的 `captcha_url`。 |
-| `GET /api/v1/erp-session/captcha/{ticket}` | 返回 `image/*` 验证码，始终 `Cache-Control: no-store`。ticket 过期或不匹配返回稳定匿名错误。 |
-| `POST /api/v1/erp-session/login` | 仅接受 `{"captcha_ticket":"...","captcha_code":"..."}`，使用受控本地配置中的账号/密码完成登录和用户校验。 |
-
-成功状态响应不包含 ticket，验证码接口以外也不会返回验证码图片。稳定错误为
-`ERP_NOT_CONFIGURED`、`ERP_SESSION_REQUIRED`、`ERP_CAPTCHA_INVALID`、
-`ERP_LOGIN_REJECTED`、`ERP_RESPONSE_INVALID` 和 `ERP_UNAVAILABLE`；均不包含 ERP
-正文或凭证。管理员 Web 的等价入口为 `/erp`、`/erp/captcha` 和 `/erp/login`，表单没有
-账号或密码字段。
+`/erp`、`/erp/captcha`、`/erp/login` 和 `/api/v1/erp-session*` 不再暴露。创建货运同步
+前，单一 API 进程在未认证时以同一 Cookie jar 获取验证码、调用受控 OCR、登录并校验用户。
+验证码图片、OCR 文字、Cookie、JWT、账号、密码和原始响应都不返回浏览器/API，也不写 SQLite。
 
 ERP 配置来源：
 
@@ -226,8 +213,12 @@ ERP 配置来源：
 - `cmd/api` 只把标准工作目录 `backend-api/.env` 中的上述三个值作为回退。系统环境变量
   优先；文件缺失不报错。该解析器不修改全局环境，不加载数据库、HTTP、TLS 或 authctl
   密码，也不支持变量展开、命令执行或任意路径。
+- `CMROUBAO_OCR_API_URL` 为可选 OCR `POST` endpoint；只允许 HTTPS，或本机 loopback HTTP，
+  不允许 userinfo、query、fragment 或重定向。请求使用 `multipart/form-data` 的 `file` 字段；
+  OCR 不可达、超时、非成功、过大或响应无有效文本时，货运创建返回 `503 OCR_SERVICE_INVALID`
+  且不会创建同步记录。
 
-会话不写 SQLite、不使用 OCR 或 Redis；服务重启后必须重新人工登录。
+会话不写 SQLite 或 Redis；服务重启后在下一次货运导入前重新经 OCR 建立会话。
 
 ### `POST /api/v1/freight-syncs`