feat(auth+desktop): 邮箱验证码登录 + 登录窗改版（微信/邮箱双方式，无边框）

后端（协议 → 存储 → 接口，E2E 测试全绿）：
- protocol：AuthEmailCodeRequest / AuthEmailRequest DTO
- store：EmailIdentity 表（邮箱唯一索引）+ authmail:* Redis key
- auth/email.go：POST /v1/auth/email/code 发 6 位码（crypto/rand，
  60s 冷却 SetNX，10 分钟 TTL）；POST /v1/auth/email 常量时间比对、
  码一次性、邮箱建号（昵称取前缀）→ JWT（与微信登录同响应形态）
- Mailer 接口 + MockMailer（验证码打日志供联调；SMTP 未配置自动降级，
  装配结果入启动日志，上线前须换真实实现）
- TestEmailLogin E2E：发码/冷却 429/错码拒绝/登录/token 可用/码防复用

桌面（Rust 命令 + UI 改版）：
- api.rs：login_email_code / login_email（成功保存 token + ws 重连，
  与扫码登录同路径）
- 登录窗改版（原型 LoginPurchase 先行，dark 截图验收）：logo + 分段
  切换（微信扫码 / 邮箱登录，与设置页同控件语言）+ 邮箱表单
  （60s 倒计时、错误文案、未注册自动建号提示）
- 二维码真渲染：qrcode 库画 canvas（前景/背景取主题 token），
  替换原 URL 文本占位；过期态半透明化
- 登录窗无边框化：transparent + Overlay 标题栏 + 原生贴形阴影；
  抽公共 WindowFrame 组件（设置窗同步重构复用）

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

server/internal/httpapi/api_test.go

@@ -24,7 +24,7 @@ import (
 	"dudu/server/pkg/protocol"
 )
 
-func newAPI(t *testing.T) (*httptest.Server, *gorm.DB) {
+func newAPI(t *testing.T) (*httptest.Server, *gorm.DB, *redis.Client) {
 	t.Helper()
 	gin.SetMode(gin.TestMode)
 	mr := miniredis.RunT(t)
@@ -45,7 +45,7 @@ func newAPI(t *testing.T) (*httptest.Server, *gorm.DB) {
 	Register(r, &Deps{Cfg: cfg, DB: db, RDB: rdb, JWT: jwt, Quota: quota.New(rdb, db)})
 	srv := httptest.NewServer(r)
 	t.Cleanup(srv.Close)
-	return srv, db
+	return srv, db, rdb
 }
 
 func postJSON(t *testing.T, url, token string, body any) *http.Response {
@@ -93,7 +93,7 @@ func login(t *testing.T, srv *httptest.Server, code string) string {
 }
 
 func TestMobileLoginAndMe(t *testing.T) {
-	srv, _ := newAPI(t)
+	srv, _, _ := newAPI(t)
 	token := login(t, srv, "wangjia99")
 
 	var me protocol.MeResponse
@@ -120,7 +120,7 @@ func TestMobileLoginAndMe(t *testing.T) {
 }
 
 func TestQrLoginFlow(t *testing.T) {
-	srv, _ := newAPI(t)
+	srv, _, _ := newAPI(t)
 	resp := postJSON(t, srv.URL+"/v1/auth/qr", "", nil)
 	var qr protocol.AuthQrResponse
 	_ = json.NewDecoder(resp.Body).Decode(&qr)
@@ -154,7 +154,7 @@ func TestQrLoginFlow(t *testing.T) {
 }
 
 func TestOrderAndPayNotifyIdempotent(t *testing.T) {
-	srv, db := newAPI(t)
+	srv, db, _ := newAPI(t)
 	token := login(t, srv, "buyer1")
 
 	// packs
@@ -235,7 +235,7 @@ func postFeedback(t *testing.T, srv *httptest.Server, token, content string, ima
 }
 
 func TestFeedback(t *testing.T) {
-	srv, db := newAPI(t)
+	srv, db, _ := newAPI(t)
 	token := login(t, srv, "fbuser")
 	t.Cleanup(func() { _ = removeUploads() })
 
@@ -287,7 +287,7 @@ func TestFeedback(t *testing.T) {
 func removeUploads() error { return nil } // LocalStorage 写入 var/uploads，测试容忍残留
 
 func TestMetricsBatchAndAggregate(t *testing.T) {
-	srv, db := newAPI(t)
+	srv, db, _ := newAPI(t)
 	body := protocol.MetricsBatchRequest{
 		DeviceID: "dev-m1", Platform: "mac", AppVersion: "0.1.0",
 		Events: []protocol.MetricEvent{
@@ -314,3 +314,55 @@ func TestMetricsBatchAndAggregate(t *testing.T) {
 		t.Fatalf("want 2 events stored (whitelist), got %d", n)
 	}
 }
+
+// 邮箱验证码登录 E2E：发码（60s 冷却）→ 取码登录 → token 可用 → 码一次性。
+func TestEmailLogin(t *testing.T) {
+	srv, _, rdb := newAPI(t)
+
+	// 发码
+	resp := postJSON(t, srv.URL+"/v1/auth/email/code", "", map[string]string{"email": "Dev@Example.com"})
+	if resp.StatusCode != http.StatusNoContent {
+		t.Fatalf("send code: want 204, got %d", resp.StatusCode)
+	}
+	// 冷却期内再发 → 429
+	resp = postJSON(t, srv.URL+"/v1/auth/email/code", "", map[string]string{"email": "dev@example.com"})
+	if resp.StatusCode != http.StatusTooManyRequests {
+		t.Fatalf("cooldown: want 429, got %d", resp.StatusCode)
+	}
+
+	code, err := rdb.Get(t.Context(), store.KeyAuthEmail("dev@example.com")).Result()
+	if err != nil {
+		t.Fatal(err)
+	}
+
+	// 错码拒绝
+	resp = postJSON(t, srv.URL+"/v1/auth/email", "", map[string]string{"email": "dev@example.com", "code": "000000"})
+	if code != "000000" && resp.StatusCode != http.StatusBadRequest {
+		t.Fatalf("wrong code: want 400, got %d", resp.StatusCode)
+	}
+
+	// 正确码登录
+	resp = postJSON(t, srv.URL+"/v1/auth/email", "", map[string]string{"email": "DEV@example.com", "code": code})
+	if resp.StatusCode != http.StatusOK {
+		t.Fatalf("login: want 200, got %d", resp.StatusCode)
+	}
+	var tok protocol.AuthTokenResponse
+	_ = json.NewDecoder(resp.Body).Decode(&tok)
+	if tok.Token == "" || tok.User.UserID == "" {
+		t.Fatalf("empty token/user: %+v", tok)
+	}
+
+	// token 可访问 /v1/me
+	req, _ := http.NewRequest("GET", srv.URL+"/v1/me", nil)
+	req.Header.Set("Authorization", "Bearer "+tok.Token)
+	meResp, err := http.DefaultClient.Do(req)
+	if err != nil || meResp.StatusCode != http.StatusOK {
+		t.Fatalf("me with email token: %v %d", err, meResp.StatusCode)
+	}
+
+	// 码一次性：复用被拒
+	resp = postJSON(t, srv.URL+"/v1/auth/email", "", map[string]string{"email": "dev@example.com", "code": code})
+	if resp.StatusCode != http.StatusBadRequest {
+		t.Fatalf("code reuse: want 400, got %d", resp.StatusCode)
+	}
+}