免费版 10 分钟卡控 + 累加式看广告加时

设计 · todo #21 · 后端 + 前端 + 数据库 · 额度全账户共享

免费版此前形同虚设：连接页无倒计时、时间到不卡控、按钮永远可点。根因在服务端—— ConnectNode 免费门每次连接都发固定 daily_minutes×1min TTL、从不扣减已用，重连即崭新 10 分钟，日额度从未真正强制。本次将其改为账户级（全设备共享）真卡控 + 累加式看广告加时：连接期倒计时、到点自动切断、耗尽按钮灰化、点击弹广告、看完 +N 分钟。

目标与口径（已确认）

连接期倒计时：连上后显示剩余 mm:ss，到 0 自动切断隧道。
耗尽卡控：额度用完 → 连接按钮变灰不可点。
看广告加时（累加式）：点灰按钮弹广告，看完 +10 分钟（可重复，每日封顶 120 分钟）。
占位广告 SDK：先跑通假流程（dialog→“播放中”→奖励），服务端用放行式 DevVerifier（nonce 仍防重放），接真 AdMob 时替换。
桌面（Windows/macOS）：免费 = 硬 10 分钟/天不可延，无广告；到点→切断+灰按钮+提示“去移动端看广告或升级”。
额度全账户共享：非每设备。服务端 usage_daily 本就按 user_id 聚合所有设备的 minutes_used，天然账户级；客户端倒计时仅本地近似，权威始终以 quota_today_min 为准。

数据模型

migration 000020_ad_bonus_minutes（sqlite + mysql）

ALTER TABLE usage_daily ADD COLUMN ad_bonus_minutes INT NOT NULL DEFAULT 0;

当日免费额度 = plans.daily_minutes（free=10）+ usage_daily.ad_bonus_minutes（看广告累加）；剩余 = 额度 − minutes_used。历史列 ad_unlocked_at（布尔式当日解锁）保留但不再用于卡控。

后端

层	改动
`usage/store.go`	`AddAdBonusMinutes(uid,day,add,ceiling)`：事务内 `LockForUpdate` 读旧值 → 累加封顶 → upsert，返回新总额 + 本次实际加时。`DailyUsage`/`GetDay`/`GetUsageRange` 补读 `ad_bonus_minutes`。`MarkAdUnlocked` 标 deprecated。
`usage/service.go`	常量 `adBonusPerAd=10` / `adDailyBonusCeiling=120`。`TodaySummary` 加 `MinutesCap`（=daily+bonus）/ `AdBonusMinutes`；`remaining=cap−used`。`UnlockAd` 改累加：verify+nonce 后 `+adBonusPerAd` 封顶，返回 `(granted, remaining)`。
`usage/ads.go` + `main.go`	放行式 `DevVerifier`（`Verify` 恒 nil）。`main.go` 按 `ADS_DEV_MODE`/默认装配（替换现在的 `nil`——否则 `UnlockAd` 直接 `ErrInternal`，占位流程走不通）。nonce 防重放仍生效。
`httpapi/nodes.go` ConnectNode	新增 `nodes.store.AccountDayMinutes(uid,day)→(used,bonus)`。免费门：`allowance=daily+bonus`，`remaining=allowance−used`；`remaining≤0`→拒 `QUOTA_EXHAUSTED`；否则 `TTL=remaining×1min`（凭证到点硬切断兜底，防绕过客户端）。
`httpapi/account.go` /me	补读 `ad_bonus_minutes`；`quota_today_min` 分母改 `daily+bonus`；新增 `quota_cap_min`（=allowance，客户端进度条分母）。
`usage/handler.go`	`POST /v1/ads/unlock`：204 → 200 返回 `{granted_minutes, minutes_remaining}`。

前端（四端共享 Dart）

层	改动
`models/me.dart`	加 `quotaCapMin`（当日总额度）。
`state/quota_provider.dart`	`total=me.quotaCapMin`；`isExhausted`；`markExhausted()`（倒计时归零本地置耗尽 + 登录态拉 me 校准）；`watchAd()` async 调 `/ads/unlock`（占位 ad_token=uuid）→ 刷新 me，返回 granted。
`state/connection_provider.dart`	连接时锁定 `_freeRemainingSec`（会员为 null 不倒计时）。复用 elapsed 计时器每 tick 算 `countdown=cap−elapsed`，写入 `ConnectionState.freeCountdown`；归零→自动切断（`_onFreeQuotaExhausted`：主动断开不报节点异常 + `markExhausted`）。倒计时用墙上时钟，后台漏跳回前台补上、准时切。连接遇后端 `QUOTA_EXHAUSTED` 兜底置耗尽。
`widgets/connect_button.dart`	加 `enabled`/`onDisabledTap`：off 态额度耗尽 → 灰化（锁图标），点击走加时流程。
`widgets/quota_card.dart`	三态：连接中显示倒计时 mm:ss + 进度收缩；未连接有余额显示剩余分钟；耗尽显示“今日已用完”。移动端「看广告加时」/ 桌面「升级会员」。
`widgets/ad_reward_dialog.dart`（新）	移动端占位广告：“广告播放中…”→3s→调 `watchAd`→显示“已加 N 分钟”自动关闭。桌面版：升级/移动端提示弹窗（无广告）。
l10n（zh/en）	倒计时/今日已用完/看广告加时/占位广告播放/奖励/桌面升级提示双语文案。

时序

移动端典型流

连接 → /me remaining=10 → 倒计时 10:00 …… 00:00
  → 客户端 _onFreeQuotaExhausted：切断隧道 + 按钮灰化 + markExhausted
点灰按钮 → 占位广告 dialog（3s）→ POST /ads/unlock（DevVerifier 放行 + nonce）
  → 服务端 ad_bonus_minutes += 10（封顶 120）→ 返回 granted=10, remaining=10
  → 刷新 /me（quota_cap_min=20, quota_today_min=10）→ 按钮恢复可连
再次连接 → ConnectNode remaining=allowance−used → TTL=remaining（服务端硬切断兜底）

桌面：同样倒计时 + 到点切断 + 灰按钮，但点击弹“去移动端看广告或升级会员”，无加时路径（硬 10 分钟/天）。

验证

后端单测：AddAdBonusMinutes 累加+封顶（SQLite 实库）；TodaySummary cap/remaining；UnlockAd 走 DevVerifier 加时；ConnectNode remaining≤0 拒 / TTL=remaining（集成测试）。
客户端：flutter analyze + flutter test（quota 倒计时/耗尽/加时；额度卡三态；/me 契约含 quota_cap_min）。
真机：免费连接→倒计时→到 0 自动断+灰按钮；点灰→移动弹占位广告→+10 分钟→恢复可连；桌面到点→灰+升级提示（无广告）；同账户两设备共享同一剩余。

不在本轮

真 AdMob/激励视频 SDK 接入（DevVerifier 占位替换）。
广告频次风控细化（现仅每日封顶 adDailyBonusCeiling）。
客户端倒计时与服务端 minutes_used 聚合延迟的精确对账（以服务端 TTL 硬切断兜底）。