feat(ov): public read api on replicas with hot sorting

P2 Task 6（ov 公开读 API + viewer 切换）：
- ov 装配 PublicOvModule（仅 app-ov.module）：/public/albums/{token}、
  /photos、/photos/{id} 三端点同契约读 ov 副本——translations/categories
  自 JSON 列解析（防御性过滤），banner 经 ov 侧 STORAGE_PORT_OV 预签名
  （同本地 MinIO；只读属约定，真实 OSS 只读凭证 P5），viewCount 取
  album_stats 权威累计（无行默认 0；计数端点 Task 8 接线）
- 排序：latest=发布时间 keyset（shared/cursor.ts 同 cn）；hot=likeTotal
  desc + photoId desc 决胜，顺序按 `${albumId}|${category}` 短期快照
  （内存 TTL 默认 30s，HOT_SORT_TTL_MS 惰性读取）——计数逐请求现读、
  顺序冻结窗口内一致，偏移游标（base64url 整数）在快照内严格稳定；
  非法 sort 400 VALIDATION_FAILED（cn 不感知该参数）
- 契约：viewCount 放宽为 integer|null（cn null、ov 权威值）；
  listPublicPhotos 增 sort 枚举（latest|hot，缺省 latest）；
  PhotoPublishedPayload 增 categoryId——补上 Tasks 3/4 管线缺口
  （payloads/publish.service/sync-inbox 投影 + 关联测试随改）
- e2e（services/api/test/public-ov.e2e-spec.ts，7 用例）：双入口同进程
  起 cn+ov，cn API 种子→真实发送管线投递；断言相册/列表/单图与 cn
  深等（仅签名 URL 剔除）、banner 真字节、参数矩阵 400/404、hot 排序
  TTL 内快照（计数新/顺序旧）+TTL 过期翻转+偏移翻页、隐藏/下线/紧急
  停用逐态撤下
- viewer 切 ov：API 基址 VITE_API_BASE（缺省 http://127.0.0.1:8081，
  空串=同源网关；Vite 只读 apps/viewer/.env*，根 .env 对前端无效），
  移除 /v1 dev 代理（CORS_ORIGINS 增 127.0.0.1:5175 直连两形）；
  playwright webServer 增 dev:ov；e2e 夹具 flushSync(albumId)=cn
  bootstrap 快照 + deliverPendingOnce（sender 新导出）经真实管线投影
  种子，deleteSeededPhoto 改软删让墓碑可同步；14 个 Playwright 全绿
  （journey 管理/staffB 腿仍走 cn 8080）

Co-Authored-By: Claude Code <noreply@anthropic.com>

apps/viewer/src/__tests__/api.spec.ts

@@ -1,5 +1,12 @@
 import { afterEach, describe, expect, it, vi } from 'vitest';
-import { ApiError, NETWORK_ERROR_CODE, getPublicAlbum, getPublicPhotos } from '../api/client';
+import {
+  ApiError,
+  DEFAULT_API_BASE,
+  NETWORK_ERROR_CODE,
+  apiBase,
+  getPublicAlbum,
+  getPublicPhotos,
+} from '../api/client';
 import { errorMessageKey } from '../api/errors';
 
 function jsonResponse(status: number, body: unknown): Response {
@@ -8,6 +15,37 @@ function jsonResponse(status: number, body: unknown): Response {
 
 afterEach(() => {
   vi.unstubAllGlobals();
+  vi.unstubAllEnvs();
+});
+
+describe('api base url', () => {
+  it('defaults to the ov entry (8081) when VITE_API_BASE is unset', () => {
+    expect(apiBase()).toBe(DEFAULT_API_BASE);
+    expect(DEFAULT_API_BASE).toBe('http://127.0.0.1:8081');
+  });
+
+  it('uses VITE_API_BASE when the build provides one', () => {
+    vi.stubEnv('VITE_API_BASE', 'https://api.example.com');
+    expect(apiBase()).toBe('https://api.example.com');
+  });
+
+  it('treats empty string as same-origin (production gateway deploy)', () => {
+    // 空串非 nullish：?? 不回退缺省，fetch 得到相对 /v1 路径（同源网关）。
+    vi.stubEnv('VITE_API_BASE', '');
+    expect(apiBase()).toBe('');
+  });
+
+  it('requests go to the configured base + /v1 path', async () => {
+    const fetchMock = vi.fn().mockResolvedValue(jsonResponse(200, { items: [], nextCursor: null }));
+    vi.stubGlobal('fetch', fetchMock);
+    vi.stubEnv('VITE_API_BASE', 'https://api.example.com');
+
+    await getPublicPhotos('tok-1');
+    expect(fetchMock).toHaveBeenCalledWith(
+      'https://api.example.com/v1/public/albums/tok-1/photos',
+      expect.objectContaining({}),
+    );
+  });
 });
 
 describe('api client', () => {
@@ -20,7 +58,7 @@ describe('api client', () => {
     const album = await getPublicAlbum('tok-1', 'zh-CN');
     expect(album.publicToken).toBe('tok-1');
     expect(fetchMock).toHaveBeenCalledWith(
-      '/v1/public/albums/tok-1?locale=zh-CN',
+      `${DEFAULT_API_BASE}/v1/public/albums/tok-1?locale=zh-CN`,
       expect.objectContaining({ headers: expect.objectContaining({ accept: 'application/json' }) }),
     );
   });