fix(v2): 超退守卫事务化 CreateRefundGuarded(锁单行+求和+插入单事务)+ sqlite DSN 补 _txlock=immediate

Task 3 计划的 RefundSum→比较→CreateRefund 两段式裸读写在并发下会超退(两个请求都读到
reserved=0、都通过、都插入)。仿 store/order.go::MarkAttemptPaid 的模式,把锁订单行
(clause.Locking FOR UPDATE,MySQL 真锁/SQLite 由 glebarez 静默丢弃)+ 求和 + 校验 + 插入
收进单个 s.db.Transaction。SQLite 侧真正的串行化靠 DSN _txlock=immediate(BEGIN IMMEDIATE
在事务开始就抢写锁)+ busy_timeout,补进 testdb.go 与 main.go 的 sqlite DSN 构造。

internal/model/testdb.go

@@ -20,7 +20,12 @@ var testDBCounter int64
 func OpenTestDB(t *testing.T) *gorm.DB {
 	t.Helper()
 	n := atomic.AddInt64(&testDBCounter, 1)
-	dsn := fmt.Sprintf("file:testdb_%d?mode=memory&cache=shared", n)
+	// _txlock=immediate: BEGIN IMMEDIATE 让每个事务一开始就抢库级写锁(而非默认
+	// BEGIN DEFERRED 推迟到首条写语句才抢),使并发事务在读阶段就串行化——守卫类
+	// 事务(锁行/求和/校验/插入,见 RefundStore.CreateRefundGuarded)依赖此语义,
+	// 呼应 pangolin 的 SQLite DSN 约定(server/internal/db/db.go)。
+	// _pragma=busy_timeout(5000): 抢不到写锁时等待重试而非立即 SQLITE_BUSY 报错。
+	dsn := fmt.Sprintf("file:testdb_%d?mode=memory&cache=shared&_txlock=immediate&_pragma=busy_timeout(5000)", n)
 	db, err := gorm.Open(sqlite.Open(dsn),
 		&gorm.Config{Logger: logger.Default.LogMode(logger.Silent), TranslateError: true})
 	if err != nil {