feat: 整站全量采集与订单写入接口契约补全

- GET 全量扫描 279 个接口并留档(HTTP200=90, 业务成功=76)
- POST 安全探测 24 个只读/计算接口(白名单制, 支付/短信/删除类零触碰)
- 订单写入接口契约经 chunk 源码静态分析补全:
  orders CRUD / 创建订单{contract_id,drawing_data,pic_url} / windoor_default 保存
- 确认付费墙语义 code=10086 及到期/角色权限响应
- doc/API.md 新增整站采集结果章节, 更新订单模块契约表

doc/克隆实施方案.md

@@ -42,6 +42,11 @@ windoorcraft.com 是一套面向门窗行业的 SaaS 工具集，核心价值链
 | `api-samples/*.json` | 16 个核心接口的真实响应样本 | — |
 | `api-samples/windoor-templates-clean.json` | **样板库全量清单**（含分类名映射） | 254 条 |
 | `windoor-drawings/{id}.json` | **每套模板的完整绘制数据 `drawing_data`** | 254 个文件 / 5.4MB |
+| `full-site/get/` + `get-manifest.json` | **整站 GET 扫描**：279 个接口逐一探测留档（200→90，业务成功 76） | 全量 |
+| `full-site/post/` + `post-manifest.json` | **POST 安全探测**：24 个只读/计算语义接口（付费墙/参数契约确认） | 全量 |
+| `full-site/sweep_get.py` / `sweep_post.py` | 可复用的限速采集脚本（白名单制，危险接口永不触碰） | — |
+
+> 订单模块受目标站付费墙保护（`code=10086`），列表/详情数据无法以试用水印账户获取；但订单写入接口的**完整请求契约**已通过源码静态分析拿到：创建订单 `POST orders/{contract_id, drawing_data, pic_url}`、详情 `GET orders/{id}`、排序 `PUT orders/{id}`、删除 `DELETE orders/{id}`。自研实现不依赖对方付费墙数据。
 
 ### 2.1 样板库统计