feat: 实现资产实名认证策略功能 (asset-realname-policy)

- 新增 realname_policy 字段到 tb_iot_card、tb_device、tb_iot_card_import_task、tb_device_import_task 四张表
- 策略枚举：none(无需实名)、before_order(先实名后充值/购买)、after_order(先充值/购买后实名)
- C端充值拦截：before_order 策略下未实名用户禁止充值
- C端订单拦截：before_order 策略下未实名用户禁止购买套餐
- C端实名链接拦截：after_order 策略下无充值/订单用户禁止实名认证
- Admin API：PATCH /api/admin/assets/:identifier/realname-mode
- 新增错误码 CodeRealnameNotAvailable=1189

openspec/changes/asset-realname-policy/specs/client-order-purchase/spec.md

@@ -0,0 +1,60 @@
+## MODIFIED Requirements
+
+### Requirement: D1 创建套餐购买订单接口
+
+系统 SHALL 提供 `POST /api/c/v1/orders/create`，并且 MUST 要求个人客户认证。**[BREAKING]** 请求体改为使用资产标识符（identifier），废弃 `iot_card_id`/`device_id` 主键字段和 `order_type` 字段。请求体 MUST 包含 `identifier`、`package_ids[]`、`payment_method`。接口流程 MUST 按顺序执行：归属校验 → 套餐校验（含加油包前置）→ **实名策略检查（新增）** → OpenID 查询 → 幂等检查 → 强充检查 → 分流创建。
+
+**实名策略检查（新增，替代 REALNAME-03 注释代码）**：
+- 获取生效实名策略（`GetEffectiveRealnamePolicy`）
+- 生效策略为 `before_order` 且 `real_name_status=0`（未实名）：MUST 返回 `CodeNeedRealname`（错误码 1187），消息"该套餐需实名认证后购买"，订单不创建
+- 生效策略为 `after_order` 或 `none`：跳过实名检查，继续后续流程
+
+原 `REALNAME-03` 注释代码 SHALL 被删除，由此策略检查替代。
+
+实名不满足时 MUST 返回 `NEED_REALNAME`。OpenID 缺失时 MUST 返回 `OPENID_NOT_FOUND`。幂等 MUST 使用 Redis 业务键 + 分布式锁。分流规则 MUST 为：
+- 无强充：创建套餐订单并返回 `order_type="package"`、`order`、`pay_config`
+- 需强充：创建充值单并返回 `order_type="recharge"`、`recharge`、`pay_config`、`linked_package_info`
+
+**客户端订单创建请求（CreateOrderRequest）**：
+```json
+{
+  "identifier":      "string（资产标识符，ICCID 或 VirtualNo，必填，1-50字符）",
+  "package_ids":     "[uint]（套餐 ID 列表，必填，1-10 个）",
+  "payment_method":  "string（wallet|wechat|alipay，必填）"
+}
+```
+
+**废弃字段**：
+- `iot_card_id`（原单卡购买时必填）
+- `device_id`（原设备购买时必填）
+- `order_type`（改为系统根据 identifier 解析结果自动填入）
+
+响应体 MUST 包含前端可直接渲染字段。错误码/消息 MUST 至少包含：`INVALID_PARAM/参数错误`、`FORBIDDEN/无权限操作该资产或资源不存在`、`NEED_REALNAME/该套餐需实名认证后购买`、`OPENID_NOT_FOUND/未找到微信授权信息，请先完成授权`、`IDEMPOTENT_CONFLICT/请求处理中，请勿重复提交`、`PACKAGE_NOT_AVAILABLE/套餐不可购买`。
+
+#### Scenario: 命中强充返回 recharge 结构
+- **WHEN** 客户购买套餐触发强充要求
+- **THEN** 系统返回 `order_type="recharge"`，包含充值单与关联套餐信息
+
+#### Scenario: 个人客户使用 VirtualNo 购买设备套餐
+- **WHEN** 个人客户发送 `{ identifier: "DEV-001", package_ids: [5], payment_method: "wechat" }`
+- **THEN** 系统解析 identifier 为设备，创建设备购买订单，微信支付流程正常触发
+
+#### Scenario: 个人客户使用 ICCID 购买单卡套餐
+- **WHEN** 个人客户发送 `{ identifier: "898600XXXXX", package_ids: [3], payment_method: "wallet" }`
+- **THEN** 系统解析为独立 IoT 卡（`is_standalone = true`），创建单卡购买订单
+
+#### Scenario: 个人客户尝试为绑定设备的卡购买套餐
+- **WHEN** 个人客户发送 identifier 对应一张 `is_standalone = false` 的卡
+- **THEN** 系统返回错误"该卡已绑定设备，请前往设备页面购买套餐"
+
+#### Scenario: 个人客户只能操作自己绑定的资产
+- **WHEN** 个人客户发送的 identifier 对应的资产不属于该客户
+- **THEN** 系统返回 HTTP 403"无权限操作该资源"
+
+#### Scenario: before_order 策略未实名时购买被拦截
+- **WHEN** 生效策略为 before_order 且 real_name_status=0，用户调用创建订单接口
+- **THEN** 系统返回 CodeNeedRealname（1187），订单不创建
+
+#### Scenario: after_order 策略购买放行
+- **WHEN** 生效策略为 after_order 且 real_name_status=0，用户调用创建订单接口
+- **THEN** 系统正常创建订单，不检查实名状态