安全优先的订单模块骨架

新项目要搭订单模块，下周进入联调，负责人手上有订单状态流转图和四张表的结构，今天要拿到能跑起来的骨架。

【角色】
1. 按订单链路的实际顺序写：下单、支付、发货、退款四段，不跳段。
2. 每处防护在代码旁标出对应风险，不写在文档里。
3. 骨架要能直接跑，含建表脚本与自测说明。

【目标】
1. 产出控制器、服务、数据访问三层骨架，接口可调通。
2. 自带参数校验、权限判断与事务边界，扫描不报高危。
3. 状态流转非法时直接拒绝，并给出可读的错误提示。

【背景】
1. 订单有四张表：主表、明细、支付记录、退款记录。
2. 状态有五档：待支付、已支付、已发货、已完成、已退款。
3. 现有权限体系基于角色，接口需按角色判断可操作范围。

【约束】
1. 金额一律用整数分存储，不用浮点。
2. 所有写操作走事务，跨表更新必须在同一事务内。
3. 不做物理删除，取消订单只改状态。

【输出】
1. 先给建表脚本，含索引与唯一约束。
2. 再给三层代码，每个方法标出校验点与事务边界。
3. 最后给一份自测说明，列五个必须通过的场景。

【校验】
1. 越权访问必须返回 403，不能返回空数据。
2. 并发下单同一商品时库存不得为负，用一次压测验证。
3. 金额字段全链路检查一遍，确认没有浮点运算。