我移除了结账账号墙，48 小时领取链接才是风险所在

作者在自家订阅结账流程中去掉注册账号这一步，买家只需邮箱即可付款，随后通过一封 48 小时内有效的一次性领取链接把已付款的访客组织交给买家。链接令牌用 base64url(JSON) 加 HMAC-SHA256 签名，载荷含订单 id、结账邮箱和过期时间，签名校验先于解析；单次使用不靠令牌表，而是看组织是否已有成员，已领取返回 410。