Relax limits that do not protect payments

- Replacement links after an operator-verified decline are no longer capped
  at three; each still needs the unpaid attestation and decline evidence.
- A payment node with a transport failure cools for 30 minutes, not 6 hours.
- Review orders keep being reconciled for 7 days instead of 24 hours.
- Recovery previews stay valid for an hour instead of 10 minutes.
- Code generation allows up to 2000 per batch and moves up to 1000 codes.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/payment-outbounds.md

@@ -95,9 +95,9 @@ PY
 - 以前没有节点绑定的待处理订单，在功能启用后首次访问 Stripe 时建立绑定。绑定不代表已付款。
 - 明确银行卡拒付不会在同一个组合上重复扣款。金额校验、幂等、付款间隔和支付方禁止重试指令继续生效。
 
-## 网络重试与 6 小时冷却
+## 网络重试与 30 分钟冷却
 
-- Stripe 连接失败、TLS/连接超时或成功响应中断，会把当前节点冷却 6 小时；银行卡拒付触发的是 30 分钟的出口 IP 冷却（先冷却 IP 再考虑冷却卡）。冷却按节点、服务器地址，以及最近探测到的公网 IP 共同排除；共享出口 IP 的节点一起退出可选池。`direct` 也适用。取消操作和 API 重定向拒绝不触发冷却。
+- Stripe 连接失败、TLS/连接超时或成功响应中断，会把当前节点冷却 30 分钟；银行卡拒付触发的是 30 分钟的出口 IP 冷却（先冷却 IP 再考虑冷却卡）。冷却按节点、服务器地址，以及最近探测到的公网 IP 共同排除；共享出口 IP 的节点一起退出可选池。`direct` 也适用。取消操作和 API 重定向拒绝不触发冷却。
 - 冷却记录保存在加密的 `payment-node-cooldown:*`，服务重启不会清除；到期自动恢复候选资格。所有节点均冷却时停止，不偷偷走未配置出口。
 - **GET 查询及 `payment_pages/<session>/init` 初始化核验**可换节点重试，每个请求最多 3 次（含首次）。这不包含生成新账单的 X mutation。
 - **卡信息提交、付款确认等写请求不自动重放**。即使网络出错并记录冷却，也立即返回失败/待核实状态；之后只能查询原结果，不会在别的出口重新扣款。