chore(release): 冻结 v1.1.0 版本

- 同步版本号：VERSION / backend pom / admin-web / miniapp 均升至 1.1.0
- 合并本轮代码审查修复（详见 docs/CODE-REVIEW-2026-09-24.md）：
  - 后端：微信登录真实实现 RealWechatLoginProvider、实名核验真实实现 RealIdentityVerificationProvider（本地强校验 + 可配置第三方 + fail-closed/fail-fast）
  - 照片直传落库端点 POST /me/photos/confirm（fileKey 归属校验 + 对象存在性校验后 savePhoto）
  - 刷新 Token Redis TTL 修正（getExpirationMs()*2 的 4h → refreshExpirationMs 的 14 天）
  - 管理端 token 改为 HttpOnly Cookie + silent-refresh，移除 localStorage 明文存储与 30+ 处手工注入
  - 小程序：红娘接单鉴权头错位修复、serviceType 中文映射、生产域名可配置
- 隔离本地产物（.workbuddy/、*.bundle、*.dump、secrets、application-dev.yml 等已被 .gitignore 覆盖）

未验证项（打标签 ≠ 生产发布）：
- 后端编译 / 单测未在本环境执行（Maven 慢、Docker DNS 受限）
- 管理端 登录→刷新→登出 端到端、小程序真机走查待人工验收
- 生产部署需注入 WECHAT_APP_ID / WECHAT_APP_SECRET、VERIFICATION_API_URL / VERIFICATION_API_KEY 与小程序生产域名

miniapp/services/profileService.js

@@ -80,6 +80,18 @@ function requestUploadToken(payload) {
   return api.post('/me/photos/upload-token', payload, undefined, payload.fileName);
 }
 
+/**
+ * 确认直传照片落库（对应 REST §29 补：POST /me/photos/confirm）
+ * 客户端直传对象存储成功后必须调用，否则对象成孤儿、照片不展示、签名访问也过不了归属校验。
+ * @param {{ fileKey: string, photoType: string }} payload
+ * @returns {Promise<{ photoId: string, photoType: string }>}
+ */
+function confirmPhoto(payload) {
+  // 以 fileKey 作幂等指纹：同一文件重复确认只落库一次（直传凭证可重试）
+  const idempotencyKey = api.idempotencyKey('photo-confirm', payload.fileKey);
+  return api.post('/me/photos/confirm', payload, undefined, idempotencyKey);
+}
+
 /**
  * 获取隐私设置（API_INVENTORY 行 23）
  * @returns {Promise<import('../types').PrivacySettings>}
@@ -178,6 +190,7 @@ module.exports = {
   deletePhoto,
   setMainPhoto,
   requestUploadToken,
+  confirmPhoto,
   getPrivacySettings,
   updatePrivacySettings,
   getReviewStatus,