feat: 自动更新、系统设置、安全修复

后端：
- 新增 GET /version 版本检查端点（version.go + version.yaml）
- 新增 GET /license/info 接口，返回门店授权信息
- 修复 GenerateOrderNo 并发重复单号：事务内加 FOR UPDATE 行锁
- 修复 ApproveStockOut 超卖竞态：预检和库存更新均加 FOR UPDATE
- 修复 Product Create 并发 code 冲突：加重试逻辑，schema 加 UNIQUE KEY
- 修复 Product Update 全字段覆盖：改用 selective Updates()
- 挂载 ReadOnly 中间件（全局）+ AdminOnly（用户管理路由）
- version.go 配置缺失时返回 500 而非静默降级

前端：
- 新增自动更新检测（update_provider.dart）+ shell 更新 banner/弹窗
- 新增系统设置"关于"标签页：版本、授权、开发信息、意见反馈
- 新增离线缓存：所有 AsyncNotifierProvider 支持断网浏览历史数据
- 新增门店信息弹窗（点击左上角 logo 或右上角门店号触发）
- 提取 AppConfig 统一管理 BASE_URL，支持 --dart-define 注入
- update_provider.dart 加 kIsWeb 保护，修复 Web 平台崩溃
- dev.sh 新增 stop 命令，修复 stop 误杀前端进程问题

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

backend/internal/router/router.go

@@ -29,6 +29,14 @@ func Setup(r *gin.Engine, db *gorm.DB) {
 	financeH := handler.NewFinanceHandler(db)
 	numberRuleH := handler.NewNumberRuleHandler(db)
 
+	// 健康检查（无需认证，用于前端连通性探测）
+	r.GET("/health", func(c *gin.Context) {
+		c.JSON(200, gin.H{"status": "ok"})
+	})
+
+	// 版本信息（无需认证，用于客户端更新检查）
+	r.GET("/version", handler.GetVersion)
+
 	v1 := r.Group("/api/v1")
 
 	// 公开路由（无需登录）
@@ -38,13 +46,14 @@ func Setup(r *gin.Engine, db *gorm.DB) {
 		auth.POST("/refresh", authH.Refresh)
 	}
 
-	// 需要 JWT 的路由
+	// 需要 JWT 的路由（ReadOnly 中间件：只读用户不可执行写操作）
 	api := v1.Group("")
-	api.Use(middleware.JWT())
+	api.Use(middleware.JWT(), middleware.ReadOnly())
 	{
 		// 许可证
 		license := api.Group("/license")
 		{
+			license.GET("/info", licenseH.Info)
 			license.POST("/activate", licenseH.Activate)
 			license.GET("/verify", licenseH.Verify)
 			license.POST("/deactivate", licenseH.Deactivate)
@@ -83,6 +92,8 @@ func Setup(r *gin.Engine, db *gorm.DB) {
 			stockIn.GET("/orders", stockInH.List)
 			stockIn.GET("/orders/:id", stockInH.Get)
 			stockIn.POST("/orders", stockInH.Create)
+			stockIn.PUT("/orders/:id", stockInH.Update)
+			stockIn.DELETE("/orders/:id", stockInH.Delete)
 			stockIn.PUT("/orders/:id/submit", stockInH.Submit)
 			stockIn.PUT("/orders/:id/approve", stockInH.Approve)
 			stockIn.PUT("/orders/:id/reject", stockInH.Reject)
@@ -94,6 +105,8 @@ func Setup(r *gin.Engine, db *gorm.DB) {
 			stockOut.GET("/orders", stockOutH.List)
 			stockOut.GET("/orders/:id", stockOutH.Get)
 			stockOut.POST("/orders", stockOutH.Create)
+			stockOut.PUT("/orders/:id", stockOutH.Update)
+			stockOut.DELETE("/orders/:id", stockOutH.Delete)
 			stockOut.PUT("/orders/:id/submit", stockOutH.Submit)
 			stockOut.PUT("/orders/:id/approve", stockOutH.Approve)
 			stockOut.PUT("/orders/:id/reject", stockOutH.Reject)
@@ -109,8 +122,9 @@ func Setup(r *gin.Engine, db *gorm.DB) {
 			inventory.GET("/checks/:id", inventoryH.GetCheck)
 		}
 
-		// 用户管理
+		// 用户管理（仅管理员）
 		users := api.Group("/users")
+		users.Use(middleware.AdminOnly())
 		{
 			users.GET("", userH.List)
 			users.POST("", userH.Create)