补上收银台深链 /pay/<checkoutToken> 的前缀路由（Nginx 三模板 + Pingora + 门禁）

- 现状：只把 `/pay`、`/profile/payment` 加进 allowlist 只能让 check:nginx-spa-routes 变绿；
  payment.rs 生成的 checkoutUrl 是 `/pay/<checkoutToken>`，深链仍落默认 location 的
  try_files → 404。同一批漂移里 check:pingora-route-parity 也是红的（Pingora MAIN_SPA_PATHS
  缺 /pay、/profile/payment），只是被 lint 链里先失败的门禁掩盖，修一条要跑到链尾
- 真相源：src/routing/activeAppPageRoutes.ts 新增 APP_PREFIX_ROUTE_ENTRIES
  （'/pay' → payment-checkout），resolveSelectionStageFromPath 改用它
- 门禁：scripts/check-nginx-spa-routes.mjs 要求三份模板都有锚定前缀 location
  `location ~* "^/pay/[^/]+/?$"`（裸前缀仍由精确 location 负责；前缀 location 必须镜像精确
  location 的维护闸与 try_files 回退）；新增 scripts/check-nginx-spa-routes.test.mjs 正/反用例
  （把前缀写成精确匹配或过宽裸前缀都会红），由 npm run check:nginx-spa-routes 一起执行；
  check-pingora-route-parity 新增 MAIN_SPA_PREFIX_PATHS 与前端前缀路由的逐条比对
- 模板：deploy/nginx/genarrative.conf、deploy/nginx/genarrative-dev-http.conf、
  deploy/container/nginx.conf 各加一条锚定前缀 location
- Pingora：MAIN_SPA_PATHS 补 /pay、/profile/payment；新增 MAIN_SPA_PREFIX_PATHS 与
  is_main_spa_prefix_path（大小写不敏感，只认「前缀 + 恰好一段」），矩阵新增
  pay_checkout_spa_fallback 用例，并给网关补一条前缀正/反单测
- 文档：Pingora 试点文档的路由表与门禁说明、deploy/nginx/README 与本地开发/生产运维文档
  同步前缀路由口径与线上 curl 复验方式
- 本地实跑：node --test scripts/check-nginx-spa-routes.test.mjs（4 passed）、
  node scripts/check-nginx-spa-routes.mjs（OK，14 SPA routes / 1 prefix routes / 3 templates）、
  npm run check:pingora-route-parity（OK，25 routes）、
  cargo test -p pingora-gateway -- pay_checkout_deep_link matches_nginx_route_parity_matrix（2 passed）

deploy/container/nginx.conf

@@ -160,6 +160,11 @@ http {
         location ~* "^/(?:creation|editor/canvas|pay|profile|profile/payment|project|components|design-system|games|games/detail|games/mine|games/play|games/publish)/?$" {
             try_files $uri /index.html =404;
         }
+
+        # 收银台深链 `/pay/<checkoutToken>`：只放行裸前缀会让真实收银台链接落到默认 location 变 404。
+        location ~* "^/pay/[^/]+/?$" {
+            try_files $uri /index.html =404;
+        }
         # END GENARRATIVE MAIN SPA ROUTES
 
         location / {

deploy/nginx/README.md

@@ -107,4 +107,4 @@ curl -sSI -H 'Accept-Encoding: br' \
 - 发行入口不使用 Cookie：边缘转发前设置 `proxy_set_header Cookie ""`；`api-server` 发行网关也会拒绝带 Cookie 的请求。响应头（`X-Content-Type-Options`、CORP、无凭据 CORS、HTML CSP、内容类型白名单与 `Cache-Control: public, max-age=60, must-revalidate`）由 `api-server` 发行网关设置，边缘不覆盖。
 - 隔离靠 iframe 沙箱而不是独立来源：游戏文档跑在 `sandbox="allow-scripts"` 的不透明来源里，读不到主站 Cookie、storage 与 DOM，离开页面即随 iframe 卸载。
 - 审核通过时 `api-server` 按 gameId 派生同源路径 `/games/<gameId>/` 作为 `entryUrl` 写入公开投影，部署侧不再需要配置发行域名。换版本或下架只改变后端公开投影，边缘不需要改配置。
-- 门禁：`npm run check:nginx-spa-routes` 校验三份模板的 SPA allowlist（含 `/games`、`/games/detail`、`/games/play`、`/games/mine`、`/games/publish`）。历史上的独立来源模板与专属门禁已随同源方案上线删除。
+- 门禁：`npm run check:nginx-spa-routes` 校验三份模板的 SPA allowlist（含 `/games`、`/games/detail`、`/games/play`、`/games/mine`、`/games/publish`、`/pay`、`/profile/payment`）与收银台深链前缀路由 `location ~* "^/pay/[^/]+/?$"`（`/pay/<checkoutToken>` 只放行「前缀 + 恰好一个路径段」；只放行裸前缀会让真实收银台链接落到默认 location 变 404），脚本自带正/反用例。历史上的独立来源模板与专属门禁已随同源方案上线删除。

deploy/nginx/genarrative-dev-http.conf

@@ -215,6 +215,18 @@ server {
 
         try_files $uri /index.html =404;
     }
+
+    # 收银台深链 `/pay/<checkoutToken>`：token 由前端从最后一个路径段读取（payment.rs 生成该链接），
+    # 只放行裸前缀会让真实收银台链接落到默认 location 变 404；这里只放行「/pay/ + 恰好一个路径段」。
+    location ~* "^/pay/[^/]+/?$" {
+        error_page 503 /maintenance.html;
+
+        if ($genarrative_maintenance) {
+            return 503;
+        }
+
+        try_files $uri /index.html =404;
+    }
     # END GENARRATIVE MAIN SPA ROUTES
 
     location / {

deploy/nginx/genarrative.conf

@@ -243,6 +243,18 @@ server {
 
         try_files $uri /index.html =404;
     }
+
+    # 收银台深链 `/pay/<checkoutToken>`：token 由前端从最后一个路径段读取（payment.rs 生成该链接），
+    # 只放行裸前缀会让真实收银台链接落到默认 location 变 404；这里只放行「/pay/ + 恰好一个路径段」。
+    location ~* "^/pay/[^/]+/?$" {
+        error_page 503 /maintenance.html;
+
+        if ($genarrative_maintenance) {
+            return 503;
+        }
+
+        try_files $uri /index.html =404;
+    }
     # END GENARRATIVE MAIN SPA ROUTES
 
     location / {

deploy/pingora/nginx-route-parity.matrix.json

@@ -311,6 +311,20 @@
       },
       "docs": ["主站 SPA allowlist", "失败回退 `/index.html`"]
     },
+    {
+      "id": "pay_checkout_spa_fallback",
+      "samplePath": "/pay/checkout-token",
+      "expect": {
+        "kind": "static",
+        "root": "web",
+        "mode": "spa_fallback"
+      },
+      "nginx": {
+        "production": ["location ~* \"^/pay/[^/]+/?$\""],
+        "development": ["location ~* \"^/pay/[^/]+/?$\""]
+      },
+      "docs": ["收银台深链 `/pay/<checkoutToken>`", "前缀 + 恰好一个路径段"]
+    },
     {
       "id": "games_spa_fallback",
       "samplePath": "/games/detail",