结算流程用真实下单证据修正：新卡代填 iframe vault、订单号正则、登录态判据

- 新卡代填改用真实 DOM 结构：卡号/有效期分别托管在 Rakuten PCI 代付 vault 的
  跨域 iframe 里，此前按 autocomplete/name 猜的 selector 在主文档里根本找不到
  元素；持卡人姓名字段改用「名義人」标签相对定位，不用 placeholder 示例文案
  （TARO RAKUTEN 只是示例用户名，不是稳定标识）
- 订单号正则修正   实体导致的分隔符匹配失败（2026-08-13 真实下单验证）
- login_runner._is_logged_in 改用与 AuthSession 一致的 __INITIAL_STATE__ 判据，
  修掉此前误判「已登录」导致保存无效 storage_state 的问题
- 新增 CheckoutBlockedError：站点风控拦截（session upgrade/3DS）转 needs_human，
  不当普通失败重试
- account.yaml 支持 phone / payment.credit-card 字段
- data/evidence/（真实 PII）加入 .gitignore

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

app/shared/config.py

@@ -108,6 +108,9 @@ class Settings(BaseSettings):
     # 下单金额上限（日元）。实际应付金额超过该值时拒绝提交，防止解析出错或
     # 页面改版导致买到远超预期的订单。设为 0 表示不设上限（不建议）。
     order_max_total_yen: int = 30000
+    # 自动下单时在支付方式页选择的选项文案（按可见文案匹配，非 value/id）。
+    # 2026-08-11 未经真实确认页验证：见 site_interact.py::_select_payment_method。
+    order_payment_method: str = "クレジットカード"
 
     # ---- 自动重登（仅交易服务，需要 account.yaml）----
     # 检测到登录态失效时，是否在 require_logged_in 内自动触发重登。需要项目根