[Bug] Checkout: захват msCustomer — token чужого аккаунта по email #369

Описание проблемы

При оформлении заказа гостем с email существующего покупателя Customer::getOrCreate() находит msCustomer по email и переписывает msCustomer.token токеном текущей гостевой сессии. Дальше API/корзина/профиль работают от чужого customer_id.

Шаги воспроизведения

1. Иметь покупателя A с email victim@example.com и его API/session token.
2. В инкогнито (новый guest token) положить товар в корзину.
3. На checkout указать address_email=victim@example.com (остальные поля любые валидные).
4. Submit заказа.
5. Проверить msCustomer жертвы: поле token стало равным guest-токену атакующего; при autoLogin — ещё и msCustomerToken.customer_id.

Ожидаемое поведение

Заказ может привязаться к существующему customer по email без передачи сессии/токена владельцу заказа. Либо требовать подтверждение владения email.

Фактическое поведение

Customer.php (~430–435): findByEmail → set('token', $this->token) → save(). Account takeover через checkout.

Окружение

• MiniShop3: current beta / mainline
• Код: Controllers/Customer/Customer.php (getOrCreate, также ветка ~558–566)

Дополнительный контекст

Не покрыто #218 (письма на stale email). Не чинится tech-debt #362. Severity: critical (authz).