feat: add http rate limiting

docs/todo_list.md

@@ -6,7 +6,7 @@
 - 认证仅使用 JWT（不做 OAuth/Cookie 方案）。
 - 支付集成暂不做，订单/退款仅按既有数据结构做流程与统计。
 - 存储仅使用本地 FS 模拟，真实 Provider 延后统一接入。
-- 多租户路由强隔离（`/t/:tenantCode/v1` + TenantResolver）暂缓，后续统一优化。
+- 多租户路由强隔离（`/t/:tenantCode/v1` + TenantResolver）已启用，后续仅做细节优化。
 
 ## 统一原则
 - 所有后端改动遵循 `backend/llm.txt` 规范与 GORM-Gen 访问方式。
@@ -157,18 +157,7 @@
 
 ## P3（延后）
 
-### 10) 多租户强隔离（路由 + TenantResolver）
-**需求目标**
-- `/t/:tenantCode/v1` 作为唯一入口，服务层强制 tenant_id 过滤。
-
-**技术方案（后端/前端）**
-- 中间件解析 tenant_code → tenant_id 并注入 ctx locals。
-- 前端 Router/API base 从 URL 解析 tenantCode。
-
-**测试方案**
-- 跨租户访问被拒绝；错租户路由返回 404。
-
-### 11) 真实存储 Provider 接入
+### 10) 真实存储 Provider 接入
 **需求目标**
 - 接入 OSS/云存储，统一上传/访问路径策略。
 
@@ -178,7 +167,7 @@
 **测试方案**
 - 本地 FS + 真实 Provider 两套配置可用性。
 
-### 12) 支付集成
+### 11) 支付集成
 **需求目标**
 - 最终阶段对接真实支付。