feat(db): 0006 构建/验收/审计域 + 追加式审计

Co-Authored-By: Claude Code <noreply@anthropic.com>

apps/api/src/db/schema.ts

@@ -1,4 +1,4 @@
-// 聚合导出：Task 6 起按域追加 pgTable 定义（站点域 = 迁移文件 0000_pale_sumo；来源域 = 0001_*；内容域 = 0002_*；分类域 = 0003_*；媒体域 = 0004_*；路由域 = 0005_*）
+// 聚合导出：Task 6 起按域追加 pgTable 定义（站点域 = 迁移文件 0000_pale_sumo；来源域 = 0001_*；内容域 = 0002_*；分类域 = 0003_*；媒体域 = 0004_*；路由域 = 0005_*；构建/验收/审计域 = 0006_*）
 import { pgTable, pgEnum, uuid, text, integer, bigint, jsonb, timestamp, uniqueIndex, index, boolean, primaryKey, type AnyPgColumn } from 'drizzle-orm/pg-core'
 
 export const sites = pgTable('sites', {
@@ -254,3 +254,106 @@ export const routeRegistry = pgTable('route_registry', {
   // 会产出语义错误（默认 NULLS DISTINCT，纯路径路由两行 NULL 不冲突）的迁移。该索引由
   // 0005 迁移文件末尾手写 SQL 追加，集成测试 db.routes.test.ts 守住其存在与语义。
 })
+
+// ---- 构建/验收/审计域（spec §5.7/§5.8；迁移文件 0006_*，末尾手写追加两不可变触发器）----
+
+export const buildJobStatus = pgEnum('build_job_status', [
+  'queued', 'snapshotting', 'building', 'validating', 'succeeded', 'failed', 'cancelled', 'stale',
+])
+export const buildArtifactKind = pgEnum('build_artifact_kind', ['dist', 'manifest', 'report', 'log'])
+export const auditActorType = pgEnum('audit_actor_type', ['system', 'cli_user'])
+
+export const buildJobs = pgTable('build_jobs', {
+  id: uuid('id').primaryKey().defaultRandom(),
+  siteId: uuid('site_id').notNull().references(() => sites.id),
+  status: buildJobStatus('status').notNull(),
+  // CLI 重试/断点续传靠同 key 幂等落库（同 import_jobs.idempotency_key 先例）
+  idempotencyKey: text('idempotency_key').notNull().unique(),
+  attempt: integer('attempt').notNull().default(0),
+  workerId: text('worker_id'),
+  startedAt: timestamp('started_at', { withTimezone: true }),
+  heartbeatAt: timestamp('heartbeat_at', { withTimezone: true }),
+  finishedAt: timestamp('finished_at', { withTimezone: true }),
+  errorCode: text('error_code'),
+  errorSummary: text('error_summary'),
+  createdAt: timestamp('created_at', { withTimezone: true }).notNull().defaultNow(),
+})
+
+// 构建输入快照：可复现性的单一事实来源（内容/路由/资产三 hash + 主题/工具链全版本钉死）。
+// 创建后不可变（0006 迁移手写触发器复用 sf_forbid_update）；重试读同一行，永不改写。
+// build_job_id UNIQUE = 一 job 恰好一份输入快照（一对一）。
+export const buildInputSnapshots = pgTable('build_input_snapshots', {
+  id: uuid('id').primaryKey().defaultRandom(),
+  buildJobId: uuid('build_job_id').notNull().references(() => buildJobs.id).unique(),
+  siteId: uuid('site_id').notNull().references(() => sites.id),
+  contentSnapshotHash: text('content_snapshot_hash').notNull(),
+  routeSnapshotHash: text('route_snapshot_hash').notNull(),
+  assetManifestHash: text('asset_manifest_hash').notNull(),
+  // 可空：极早期 job 可能无配置修订引用（FK 不强制非空）
+  siteConfigRevisionId: uuid('site_config_revision_id').references(() => siteConfigRevisions.id),
+  themeKey: text('theme_key').notNull(),
+  themeVersion: text('theme_version').notNull(),
+  themeSourceHash: text('theme_source_hash').notNull(),
+  dependencyLockHash: text('dependency_lock_hash').notNull(),
+  sourceCommit: text('source_commit').notNull(),
+  nodeVersion: text('node_version').notNull(),
+  pnpmVersion: text('pnpm_version').notNull(),
+  astroVersion: text('astro_version').notNull(),
+  locale: text('locale').notNull(),
+  timezone: text('timezone').notNull(),
+  buildTimestamp: timestamp('build_timestamp', { withTimezone: true }).notNull(),
+  manifestPath: text('manifest_path').notNull(),
+  createdAt: timestamp('created_at', { withTimezone: true }).notNull().defaultNow(),
+})
+
+export const buildArtifacts = pgTable('build_artifacts', {
+  id: uuid('id').primaryKey().defaultRandom(),
+  buildJobId: uuid('build_job_id').notNull().references(() => buildJobs.id),
+  kind: buildArtifactKind('kind').notNull(),
+  storagePath: text('storage_path').notNull(),
+  sha256: text('sha256').notNull(),
+  byteSize: bigint('byte_size', { mode: 'number' }).notNull(),
+  createdAt: timestamp('created_at', { withTimezone: true }).notNull().defaultNow(),
+  // 同一 job 内同 kind 同路径只登记一次（重试上传同一路径幂等）；跨 job / 换 kind / 换路径 = 新行
+}, (t) => [uniqueIndex('build_artifacts_uq').on(t.buildJobId, t.kind, t.storagePath)])
+
+// 验收 Gate 运行记录；build_job_id 可空（可对既有产物重跑 Gate，不必是新构建）
+export const validationRuns = pgTable('validation_runs', {
+  id: uuid('id').primaryKey().defaultRandom(),
+  siteId: uuid('site_id').notNull().references(() => sites.id),
+  buildJobId: uuid('build_job_id').references(() => buildJobs.id),
+  ruleVersion: text('rule_version').notNull(),
+  status: text('status').notNull(),
+  startedAt: timestamp('started_at', { withTimezone: true }),
+  finishedAt: timestamp('finished_at', { withTimezone: true }),
+  createdAt: timestamp('created_at', { withTimezone: true }).notNull().defaultNow(),
+})
+
+// severity 用 text 而非 enum：级别集合随 Gate 规则演进（P0-P3 为当前切片约定），不值得一次 ALTER
+export const validationIssues = pgTable('validation_issues', {
+  id: uuid('id').primaryKey().defaultRandom(),
+  validationRunId: uuid('validation_run_id').notNull().references(() => validationRuns.id),
+  severity: text('severity').notNull(),
+  rule: text('rule').notNull(),
+  url: text('url'),
+  evidence: jsonb('evidence').notNull(),
+  resolutionStatus: text('resolution_status').notNull(),
+  createdAt: timestamp('created_at', { withTimezone: true }).notNull().defaultNow(),
+})
+
+// 审计日志追加式（spec §5.8）：只 INSERT，UPDATE/DELETE 由 0006 手写触发器拒绝。
+// site_id 可空——组织级操作（无站点上下文）记 NULL；CLI 必须带明确 Actor，不用模糊 system 顶替。
+export const auditLogs = pgTable('audit_logs', {
+  id: uuid('id').primaryKey().defaultRandom(),
+  siteId: uuid('site_id').references(() => sites.id),
+  actorType: auditActorType('actor_type').notNull(),
+  actorId: text('actor_id'),
+  actorLabel: text('actor_label').notNull(),
+  commandId: text('command_id'),
+  action: text('action').notNull(),
+  objectType: text('object_type').notNull(),
+  objectId: text('object_id').notNull(),
+  beforeValue: jsonb('before_value'),
+  afterValue: jsonb('after_value'),
+  occurredAt: timestamp('occurred_at', { withTimezone: true }).notNull().defaultNow(),
+})