fix: 优化签到工作流与稳健性（免装 gh / cookie 合并 / 二维码依赖解析 / README 说明）

[xfxx2022]

改动清单（4 文件，+20/−13）

② 签到.yml 免装 gh、省 Actions 分钟

• 删除「检查 GitHub CLI」里的 apt install gh 整段（GitHub 托管的 ubuntu-latest 已预装 gh，该段在标准 runner 上本就几乎不执行，删掉彻底避免任何安装/网络开销）。
• permissions 增加 actions: write：githubSecrets.js 用 gh secret set 写回刷新后的 token，属于 actions 权限域，必需。
• 未改 githubSecrets.js：仍用 gh 写 Secret。说明：GitHub Secrets API 要求用仓库公钥做 sealed-box 加密，curl 无法自加密；若改用 REST 需引入 tweetnacl 重写加密逻辑，会让"周日刷新 token 写回 Secret"这一关键路径增加失败风险——故选择"删安装段 + 保留 gh"的最稳方案，零新依赖、零加密风险。

③ README 意图说明

• 第 57 行补充"安排在凌晨可抢在手动领取之前，避免与 APP 内领取当天青春版 VIP 名额冲突"的意图（cron 仍是北京 01:10，已对齐，无需改时间）。

④ server.js cookie 合并稳健性

• 原 Object.assign(req.cookies, cookie) 在 query.cookie 为字符串/数组时，会把字符串当类数组注入 0,1,2… 字符索引键，污染传给酷狗的 cookie。
• 改为：字符串 → cookieToJson、对象 → 原样、数组/其它 → 空对象；并用 Object.assign({}, req.cookies, cookieSource) 不再 mutate 原 req.cookies。
• 隔离单测 5/5 通过（字符串解码 / 对象 / undefined / 数组防污染 / 空串，且原 req.cookies 不受影响）。主签到走 HTTP Cookie 头，本就不传 ?cookie=，属额外防御层，行为等价。

⑤ qrcodeLogin.js 二维码依赖解析

• 原硬编码 require('./api/node_modules/qrcode') → 改为优先 require('qrcode')，失败再回退 ./api/node_modules/qrcode。
• 两种环境（本地/全局安装、Actions 的 api/node_modules）均可用，本地开发更友好；Actions 走回退路径，行为不变。已用临时假包验证回退路径真实可取（用后清理）。

验证

• node --check：api/server.js、qrcodeLogin.js 全过。
• 隔离单测：④ cookie 合并 5/5；⑤ qrcode 解析 1/1。
• git diff --stat：仅 4 个文件、+20/−13，无任何额外变更。

兼容性 / 风险标注

• 🟡 ② 扩大 actions: write 权限：写 Secret 的最小必要权限，非越权。
• 🟢 ④ 纯防御、行为等价，不破坏现有合并语义。
• 🟢 ⑤ 仅调整解析顺序，Actions 仍走原 api/node_modules 回退。