feat: 增强钱包 API URL 验证与配置

- 在 AdminIntegrationSiteStoreRequest 和 AdminIntegrationSiteUpdateRequest 中引入 WalletApiUrlRule，确保 wallet_api_url 字段符合 HTTPS 公开域名要求。
- 更新 HttpMainSiteWalletBalanceClient 和 HttpMainSiteWalletGateway，使用 WalletApiUrlSanitizer 进行 URL 规范化与验证，防止 SSRF 攻击。
- 新增测试用例，验证 wallet_api_url 的有效性，确保系统安全性与稳定性。
- 更新 .env.example 文件，添加 LOTTERY_RISK_POOL_USE_REDIS_LUA 配置项以支持 Redis Lua 原子扣减功能。
- 修改 package-lock.json 中的项目名称，确保一致性。
- 在 API 路由中新增 integration/runtime-origins 路由，提供运行时白名单功能。

tests/Feature/AdminIntegrationSiteApiTest.php

@@ -323,3 +323,42 @@ test('player list is filtered by admin site binding', function (): void {
     $siteCodes = collect($response->json('data.items'))->pluck('site_code')->unique()->values()->all();
     expect($siteCodes)->toBe(['site-a']);
 });
+
+test('wallet_api_url rejects non-https', function (): void {
+    $token = integrationAdminToken();
+
+    $this->withHeader('Authorization', 'Bearer '.$token)
+        ->postJson('/api/v1/admin/integration-sites', [
+            'code' => 'bad-https-1',
+            'name' => 'Bad HTTPS 1',
+            'wallet_api_url' => 'http://wallet.bad.test',
+        ])
+        ->assertStatus(422)
+        ->assertJsonPath('data.errors.wallet_api_url.0', 'wallet_api_url 必须是 https 的公开域名根地址，并拒绝 localhost/内网 IP 与带路径/查询的地址。');
+});
+
+test('wallet_api_url rejects localhost', function (): void {
+    $token = integrationAdminToken();
+
+    $this->withHeader('Authorization', 'Bearer '.$token)
+        ->postJson('/api/v1/admin/integration-sites', [
+            'code' => 'bad-https-2',
+            'name' => 'Bad HTTPS 2',
+            'wallet_api_url' => 'https://localhost:8080',
+        ])
+        ->assertStatus(422)
+        ->assertJsonPath('data.errors.wallet_api_url.0', 'wallet_api_url 必须是 https 的公开域名根地址，并拒绝 localhost/内网 IP 与带路径/查询的地址。');
+});
+
+test('wallet_api_url rejects private ip with path', function (): void {
+    $token = integrationAdminToken();
+
+    $this->withHeader('Authorization', 'Bearer '.$token)
+        ->postJson('/api/v1/admin/integration-sites', [
+            'code' => 'bad-https-3',
+            'name' => 'Bad HTTPS 3',
+            'wallet_api_url' => 'https://127.0.0.1/wallet',
+        ])
+        ->assertStatus(422)
+        ->assertJsonPath('data.errors.wallet_api_url.0', 'wallet_api_url 必须是 https 的公开域名根地址，并拒绝 localhost/内网 IP 与带路径/查询的地址。');
+});