feat(auth+desktop): 邮箱验证码登录 + 登录窗改版（微信/邮箱双方式，无边框）

后端（协议 → 存储 → 接口，E2E 测试全绿）：
- protocol：AuthEmailCodeRequest / AuthEmailRequest DTO
- store：EmailIdentity 表（邮箱唯一索引）+ authmail:* Redis key
- auth/email.go：POST /v1/auth/email/code 发 6 位码（crypto/rand，
  60s 冷却 SetNX，10 分钟 TTL）；POST /v1/auth/email 常量时间比对、
  码一次性、邮箱建号（昵称取前缀）→ JWT（与微信登录同响应形态）
- Mailer 接口 + MockMailer（验证码打日志供联调；SMTP 未配置自动降级，
  装配结果入启动日志，上线前须换真实实现）
- TestEmailLogin E2E：发码/冷却 429/错码拒绝/登录/token 可用/码防复用

桌面（Rust 命令 + UI 改版）：
- api.rs：login_email_code / login_email（成功保存 token + ws 重连，
  与扫码登录同路径）
- 登录窗改版（原型 LoginPurchase 先行，dark 截图验收）：logo + 分段
  切换（微信扫码 / 邮箱登录，与设置页同控件语言）+ 邮箱表单
  （60s 倒计时、错误文案、未注册自动建号提示）
- 二维码真渲染：qrcode 库画 canvas（前景/背景取主题 token），
  替换原 URL 文本占位；过期态半透明化
- 登录窗无边框化：transparent + Overlay 标题栏 + 原生贴形阴影；
  抽公共 WindowFrame 组件（设置窗同步重构复用）

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

server/internal/httpapi/router.go

@@ -53,6 +53,15 @@ func pickWechat(cfg config.Config) (auth.WechatClient, string) {
 	return auth.MockWechat{}, "mock" // TODO(5C-真实): 开放平台实现，凭证就绪后替换
 }
 
+// pickMailer SMTP 未配置时使用 mock（验证码打日志，供联调）。返回 kind。
+// ⚠️ 上线前必须配置真实 SMTP，否则邮箱登录形同虚设。
+func pickMailer(cfg config.Config) (auth.Mailer, string) {
+	if cfg.SMTPHost == "" {
+		return auth.MockMailer{}, "mock"
+	}
+	return auth.MockMailer{}, "mock" // TODO(邮箱登录-真实): SMTP 实现，凭证就绪后替换
+}
+
 // pickPay 商户号未配置（#2B 申请中）时使用 mock。返回 kind="mock"。
 // ⚠️⚠️ 上线前必须替换为真实 PayClient！MockPay 不验签，/v1/pay/notify 等于公开充值接口。
 func pickPay(cfg config.Config) (billing.PayClient, string) {
@@ -78,12 +87,14 @@ func Register(r *gin.Engine, d *Deps) {
 	wechat, wechatKind := pickWechat(d.Cfg)
 	pay, payKind := pickPay(d.Cfg)
 	storage, storageKind := pickStorage(d.Cfg)
+	mailer, mailerKind := pickMailer(d.Cfg)
 
 	// 启动时打印各外部依赖的装配结果（real/mock），便于部署核对（17E）。
 	slog.Info("dependency assembly",
-		"asr_provider", providerKind, "wechat", wechatKind, "pay", payKind, "storage", storageKind)
+		"asr_provider", providerKind, "wechat", wechatKind, "pay", payKind,
+		"storage", storageKind, "mailer", mailerKind)
 
-	authH := &auth.Handlers{DB: d.DB, RDB: d.RDB, JWT: d.JWT, Wechat: wechat}
+	authH := &auth.Handlers{DB: d.DB, RDB: d.RDB, JWT: d.JWT, Wechat: wechat, Mailer: mailer}
 	billH := &billing.Handlers{DB: d.DB, Pay: pay, Quota: d.Quota}
 	userH := &user.Handlers{DB: d.DB, Quota: d.Quota, AppVersions: d.Cfg.AppLatest}
 	fbH := &feedback.Handlers{DB: d.DB, RDB: d.RDB, Storage: storage}
@@ -103,6 +114,8 @@ func Register(r *gin.Engine, d *Deps) {
 	v1.GET("/auth/qr/:state", authH.PollQr)
 	v1.GET("/auth/wechat/callback", authH.QrCallback)
 	v1.POST("/auth/wechat", authH.MobileLogin)
+	v1.POST("/auth/email/code", authH.EmailCode)
+	v1.POST("/auth/email", authH.EmailLogin)
 	v1.GET("/packs", billH.Packs)
 	// ⚠️ 部署前必须切换到真实 PayClient（验签）！当前 MockPay 不验签，
 	// /v1/pay/notify 等于一个无鉴权的公开充值接口（任意人可伪造支付成功回调充值）。