feat(cli): doctor --seller <url> to validate a remote x402 seller

[Edgadafi]

Closes #105

nirium doctor --seller <url> valida un vendedor x402 remoto sin pagar. Pide la URL y exige 402 con un PAYMENT-REQUIRED decodificable. Revisa que network, asset, amount y payTo existan y estén bien formados, y que resource.url sea https://. Manda un preflight CORS con un origen al azar y comprueba que no responde 500, que el 402 expone PAYMENT-REQUIRED y PAYMENT-RESPONSE (el navegador ignora Access-Control-Expose-Headers del preflight), y que PAYMENT-SIGNATURE está permitido. Cada check se imprime pass/fail. --json queda para CI y el exit code es distinto de cero si alguno falla.

El probe es un GET más un OPTIONS. No envía PAYMENT-SIGNATURE ni lee el .env. El User-Agent es nirium-doctor/<version> leído de packages/cli/package.json. El #103 no está en main, así que los tests del fixture viven aquí.

Rebaseado sobre main después de #108 (pay ya no acepta el secreto como argumento).

Este paquete no tiene ESLint ni un script lint. npm test es el único script nuevo y corre node --test contra el fixture. El workflow de upstream (sdk-test.yml) no cubre packages/cli/**. Estos tests se pueden sumar ahí, o dejarlo para #107.

Cómo se probó

• npm test en packages/cli: 11/11 contra un servidor en 127.0.0.1, sin red. Incluye el caso en que el preflight expone los headers y el 402 no: cors-expose falla.
• Lectura, sin pago, de https://x402.holatia.app/v1/quote. Pasaron challenge, stellar:pubnet, asset, amount, payTo, resource.url, preflight 204 y PAYMENT-SIGNATURE. Falló cors-expose: el 402 no envía Access-Control-Expose-Headers. Exit code 1.

🩺 Nirium Doctor — remote x402 seller
Seller:         https://x402.holatia.app/v1/quote
Target Network: stellar:pubnet
--------------------------------------------------
✔ [CHALLENGE] HTTP 402 with a decodable PAYMENT-REQUIRED header
✔ [NETWORK] network is present and well formed
✔ [ASSET] asset is present and well formed
✔ [AMOUNT] amount is a positive integer string
✔ [PAYTO] payTo is present and well formed
✔ [RESOURCE-URL] resource.url is https://
✔ [CORS-PREFLIGHT] CORS preflight returned HTTP 204 for a random origin
❌ [CORS-EXPOSE] browser clients cannot read PAYMENT-REQUIRED and PAYMENT-RESPONSE
✔ [CORS-ALLOW] PAYMENT-SIGNATURE is allowed on the preflight
--------------------------------------------------
❌ Diagnostic failed. See fix suggestions above.

Disclosure: implemented with AI assistance (Cursor) under my direction and reviewed by hand.