feat: admin生产服务(/admin SPA fallback+health分级) + Docker两阶段构建 + 生产compose

- app/main.py: AdminSPA 纯 ASGI 挂载 /admin(dist 存在=StaticFiles html
  + SPA fallback(非 /admin/api 的 404 回 index.html 200);缺失=503 说明页);
  ADMIN_DIST env 覆盖、请求期现势解析(构建后不重启生效/测试可注入)。
  /health 分级: {status, tenants:[{slug,status,engine_ok}], domains}——
  懒建未就绪 engine_ok=None 不探库;单租户库损坏只 degraded 仍 200,
  不让 healthcheck 杀容器。
- host_middleware: /admin 与 /admin/ 前缀豁免租户解析(平台面;/admin-evil
  仍 404,前缀精确到斜杠)。
- admin: .env.production VITE_BASE_URL=/admin/(产物资源引用与挂载同源,
  单一事实源,不靠构建期 env 注入);package.json 钉 packageManager
  pnpm@10.7.1(corepack 与本地同版本)。
- Dockerfile 两阶段: node:20-alpine 构建 admin/dist(corepack 按清单钉版)
  → python:3.13-slim 只带运行时(app/static/seed_profiles/scripts+dist,
  含 tzdata 使 TZ 生效)。
- docker-compose: 生产编排(8018/env_file 可缺省/TZ/数据 bind mount/
  mem_limit 768m/日志轮转/python urllib healthcheck/restart)。
- .dockerignore 防泄(.env 不进镜像)+ .gitattributes 钉部署文件 LF。
- tests/test_admin_serving.py: 假 dist 夹具 7 例(服务/fallback 边界/
  Host 豁免/缺失降级/health 分级含坏库 degraded)。

Co-Authored-By: Claude Code <noreply@anthropic.com>

docker-compose.yml

@@ -0,0 +1,33 @@
+# 生产编排(Phase 4 Task 1)——单容器全栈(uvicorn 直出,无反代层时
+# 8018 对外;有反代时由反代转发)。数据全在 bind mount,容器可随手重建。
+name: all-kefu
+
+services:
+  app:
+    build: .
+    ports:
+      - "8018:8018"
+    env_file:
+      # 生产服务器放 .env(ADMIN_PASSWORD/ZHIPU_API_KEY/SMTP 等);本机
+      # 没有 .env 也能起(出厂默认+启动日志警示)——required: false 只是
+      # 容忍缺省,不改变变量优先级
+      - path: .env
+        required: false
+    environment:
+      TZ: Asia/Shanghai
+    volumes:
+      - ./data:/app/data        # 头像上传等(data/uploads)
+      - ./tenants:/app/tenants  # 每租户 SQLite 库
+    mem_limit: 768m
+    logging:
+      driver: json-file
+      options:
+        max-size: "10m"
+        max-file: "3"
+    healthcheck:
+      # slim 镜像无 curl——用容器内自带的 python urllib 探 /health
+      # (分级 health:单租户库损坏返回 200 degraded,不杀容器)
+      test: ["CMD-SHELL", "python -c \"import urllib.request;urllib.request.urlopen('http://127.0.0.1:8018/health',timeout=3)\""]
+      interval: 30s
+      retries: 3
+    restart: unless-stopped