feat: admin生产服务(/admin SPA fallback+health分级) + Docker两阶段构建 + 生产compose

- app/main.py: AdminSPA 纯 ASGI 挂载 /admin(dist 存在=StaticFiles html
  + SPA fallback(非 /admin/api 的 404 回 index.html 200);缺失=503 说明页);
  ADMIN_DIST env 覆盖、请求期现势解析(构建后不重启生效/测试可注入)。
  /health 分级: {status, tenants:[{slug,status,engine_ok}], domains}——
  懒建未就绪 engine_ok=None 不探库;单租户库损坏只 degraded 仍 200,
  不让 healthcheck 杀容器。
- host_middleware: /admin 与 /admin/ 前缀豁免租户解析(平台面;/admin-evil
  仍 404,前缀精确到斜杠)。
- admin: .env.production VITE_BASE_URL=/admin/(产物资源引用与挂载同源,
  单一事实源,不靠构建期 env 注入);package.json 钉 packageManager
  pnpm@10.7.1(corepack 与本地同版本)。
- Dockerfile 两阶段: node:20-alpine 构建 admin/dist(corepack 按清单钉版)
  → python:3.13-slim 只带运行时(app/static/seed_profiles/scripts+dist,
  含 tzdata 使 TZ 生效)。
- docker-compose: 生产编排(8018/env_file 可缺省/TZ/数据 bind mount/
  mem_limit 768m/日志轮转/python urllib healthcheck/restart)。
- .dockerignore 防泄(.env 不进镜像)+ .gitattributes 钉部署文件 LF。
- tests/test_admin_serving.py: 假 dist 夹具 7 例(服务/fallback 边界/
  Host 豁免/缺失降级/health 分级含坏库 degraded)。

Co-Authored-By: Claude Code <noreply@anthropic.com>

Dockerfile

@@ -0,0 +1,37 @@
+# 两阶段构建(Phase 4 Task 1):
+#   阶段一 node:20-alpine 构建 admin 前端 → dist;
+#   阶段二 python:3.13-slim 只带运行时所需(app/static/seed_profiles/
+#   scripts + 前端 dist),不带 node/tests/docs。
+
+# ---- 阶段一: admin 前端构建 --------------------------------------------------
+FROM node:20-alpine AS admin-build
+WORKDIR /build
+# 先拷清单再拷源码:依赖层缓存与源码改动解耦
+COPY admin/package.json admin/pnpm-lock.yaml admin/pnpm-workspace.yaml ./
+# corepack 按 package.json 的 packageManager 字段钉 pnpm 版本(与本地
+# 一致的单一事实源);升级 corepack 规避 node20 镜像内置旧版的签名钥问题
+RUN npm install -g corepack@latest && corepack enable
+RUN pnpm install --frozen-lockfile
+COPY admin/ ./
+# VITE_BASE_URL 取 admin/.env.production(=/admin/):产物资源引用与后端
+# 挂载路径同源;不靠构建期 env 注入(vite 的 env/文件优先级易漂移,
+# 文件为单一事实源)
+RUN pnpm build
+
+# ---- 阶段二: 生产镜像 --------------------------------------------------------
+FROM python:3.13-slim
+WORKDIR /app
+# tzdata: compose 设 TZ=Asia/Shanghai,推送窗口等业务时间依赖本地时区,
+# slim 基镜像不带 tzdata 时 TZ 会被静默忽略(退 UTC)
+RUN apt-get update \
+    && apt-get install -y --no-install-recommends tzdata \
+    && rm -rf /var/lib/apt/lists/*
+COPY requirements.txt ./
+RUN pip install --no-cache-dir -r requirements.txt
+COPY app ./app
+COPY static ./static
+COPY seed_profiles ./seed_profiles
+COPY scripts ./scripts
+COPY --from=admin-build /build/dist ./admin/dist
+EXPOSE 8018
+CMD ["uvicorn", "app.main:app", "--host", "0.0.0.0", "--port", "8018", "--workers", "1"]