feat: cool declined exits before cards and expose payment status

Route X account and eligibility checks directly while regional pricing
and checkout creation share the configured proxy exit, keeping quoted
currency and amounts consistent for the customer.

A decline now cools the card×node pair and the exit's shared IP for 30
minutes first; only a card declined through two distinct nodes enters a
whole-card cooldown, and do_not_try_again blocks just that card. Card
and rotation status stay readable with no cards configured and no longer
report expired cooldowns as blocks. Links-only recovery works without a
payment card, and the recovery status endpoint reports the
payment-protection pause.

docs/payment-outbounds.md

@@ -1,6 +1,6 @@
 # Stripe 付款节点池
 
-X 资格检查、报价和生成链接继续使用 vault 中的 `proxy` 配置。Stripe 账单初始化、核验、卡信息提交、付款确认和结果查询使用独立的 `payment-outbounds`。后台批量、单客户补单与 CLI 共用此配置。
+X 账号与资格检查始终直连；生成付款链接所需的地区报价校验与创建链接使用 vault 中同一个 `proxy` 出口。报价取决于出口地区，不能将其与链接创建分开路由。X 请求不读取环境代理。Stripe 账单初始化、核验、卡信息提交、付款确认和结果查询使用独立的 `payment-outbounds`。后台批量、单客户补单与 CLI 共用此配置。
 
 ## 配置格式
 
@@ -80,8 +80,8 @@ PY
 付款卡保存在加密的 `cards` 数组（兼容旧的单张 `card` 记录），Stripe 付款按「卡 × 节点」组合随机轮换：
 
 - 每 3 个连续付款订单使用同一组合（不按客户，按提交顺序）。第 4 个订单重新随机选择卡和可用节点；同一张卡不会连续被选为相邻组合（可用卡足够时）。
-- 任一订单被银行拒付后，当前组合立即作废；下一次提交（包括管理员补单）自动换到另一张卡和一个可用节点。被拒的那张卡进入 30 分钟冷却，期间不再参与轮换；其他卡不够用时会自动回退重新启用。普通拒付不再因累计次数暂停全站，也不影响其他组合。
-- 只有支付方明确返回 `do_not_try_again` 时才永久封锁对应那张卡；其余卡继续轮换，全部卡都被永久封锁才暂停全站，可用 `xgift cards unblock` 显式解除（同时清除拒绝冷却）。
+- 任一订单被银行拒付后，当前组合立即作废，并**先冷却该出口节点及其共享出口 IP（30 分钟）**——换节点是首选处理，同一张卡马上可以通过其他节点继续付款。只有同一张卡在两个不同节点都被拒时，才冷却整卡 30 分钟；冷却期内其他卡继续轮换，全部组合不可用时自动回退。普通拒付不再因累计次数暂停全站，也不影响其他组合。
+- 只有支付方明确返回 `do_not_try_again` 时才永久封锁对应那张卡；其余卡继续轮换，全部卡都被永久封锁才暂停全站，可用 `xgift cards unblock` 显式解除（同时清除所有拒绝冷却和组合冷却）。后台补单面板实时显示每张卡的可用/冷却/封锁状态与当前轮换组合。
 - 旧单卡时代的已拒订单没有卡指纹记录，首次补单会按旧 `card` 记录给对应卡补上冷却，避免用旧卡反复重试。
 - 补单与普通付款共用同一套轮换逻辑；已被拒订单不会重复使用原卡重试，而未提交付款的订单重复尝试会继续沿用已绑定的组合，不重复占用轮换名额。
 - 卡池变化（增删卡）会形成新的集合指纹，自动重置支付保护状态和后台补单预览；仅轮换不会改变指纹。CLI 用 `xgift cards list|add|remove|unblock|rotate` 管理。
@@ -97,7 +97,7 @@ PY
 
 ## 网络重试与 6 小时冷却
 
-- Stripe 连接失败、TLS/连接超时或成功响应中断，会把当前节点冷却 6 小时。冷却按节点、服务器地址，以及最近探测到的公网 IP 共同排除；共享出口 IP 的节点一起退出可选池。`direct` 也适用。取消操作和 API 重定向拒绝不触发冷却。
+- Stripe 连接失败、TLS/连接超时或成功响应中断，会把当前节点冷却 6 小时；银行卡拒付触发的是 30 分钟的出口 IP 冷却（先冷却 IP 再考虑冷却卡）。冷却按节点、服务器地址，以及最近探测到的公网 IP 共同排除；共享出口 IP 的节点一起退出可选池。`direct` 也适用。取消操作和 API 重定向拒绝不触发冷却。
 - 冷却记录保存在加密的 `payment-node-cooldown:*`，服务重启不会清除；到期自动恢复候选资格。所有节点均冷却时停止，不偷偷走未配置出口。
 - **GET 查询及 `payment_pages/<session>/init` 初始化核验**可换节点重试，每个请求最多 3 次（含首次）。这不包含生成新账单的 X mutation。
 - **卡信息提交、付款确认等写请求不自动重放**。即使网络出错并记录冷却，也立即返回失败/待核实状态；之后只能查询原结果，不会在别的出口重新扣款。