fix(manager): выровнять ответ обновления заказа с GET и скрыть секретный token

[Ibochkarev]

Описание

OrdersController::update() (PUT /api/mgr/orders/{id}) возвращал сырой $order->toArray(). Из-за этого:

• в ответ утекал секретный token заказа (тот же, что ms3_token для авторизации действий над заказом в Web API);
• форма ответа расходилась с GET /api/mgr/orders/{id}: не было merge адреса, status_name / delivery_name / payment_name, форматированной стоимости — клиент ломался при переиспользовании shape GET.

Изменения:

• update() формирует ответ через buildOrderPayloadFromModel(), как get() (address-merge, форматирование, отношения).
• После смены статуса и перезагрузки заказа добавлен guard: если объект не найден, возвращается 500 вместо фатала на toArray().
• Секретный token убирается из всех Manager-ответов по заказу через HIDDEN_ORDER_FIELDS в общей точке formatOrder() (get, list, create, finalize, recalculate-cost, update).

Изменение контракта: поле token больше не возвращается ни одним Manager order endpoint. Vue-менеджер его не читает (проверено grep по vueManager/src); web-фронт использует ms3_token из cookie/API, а не это поле ответа. Для внешних интеграций это намеренный security-fix.

Тип изменений

• Исправление бага (non-breaking change)
• Другое: скрытие секретного поля в ответах Manager API (изменение shape ответа)

Связанные Issues

Closes #421

Как это было протестировано?

• Автоматические тесты
• Ручная проверка diff и потребителей ответа

Команды и результат:

php -l .../Controllers/Api/Manager/OrdersController.php   # exit 0
php tests/OrderPayloadSecretFieldsTest.php                # OK (exit 0)
php tests/DirectFilterKeysTest.php                        # OK (exit 0), без регрессий

Регрессия проверена red-green: при возврате formatOrder() без вырезания token тест падает (token must be stripped), после фикса — проходит.

Конфигурация тестирования:

• MiniShop3: beta / Manager REST
• MODX: 3.x
• PHP: 8.2+

Чеклист

• Код соответствует стилю проекта
• Изменения не ломают функциональность Vue-менеджера
• Лексиконы (не требуются — новых пользовательских строк нет)
• Затронутые PHP-файлы проходят php -l

Дополнительные заметки

Вне scope этого PR (pre-existing, для отдельных задач):

• update() (~строка 968) и OrderStatusService::change(): непроверенный $order->save() при откате статуса может вернуть success без фактической смены — silent failure.
• Роут PUT/POST/DELETE /orders защищён только правом msorder_list; разумно развести на msorder_save / msorder_remove.
• Полей uuid / properties изменения не касаются.