feat(ov,viewer): two-tier download with wechat guidance

P4a Task 4（T12 收口）：ov 域公开照片下载端点 + viewer 下载 UI。

- interactions 增 downloads：GET /public/albums/{token}/photos/{photoId}
  /download?variant=browse|original。两级开关（A18）：browse 需
  downloadEnabled；original 需叠加 originalDownloadEnabled（级联，browse 关
  则两者均 403 DOWNLOAD_DISABLED）。水印相册 browse 现签 watermark pattern
  key（browse-key 解析抽取 shared/ov-browse-key 与 public-ov 复用）；原图
  现签 originalObjectKey（SIGNED_URL_TTL）。来源 IP 固定窗限速
  （DOWNLOAD_WINDOW_REQUESTS/DOWNLOAD_WINDOW_SECONDS，env 可调）；零浏览
  计数写入（排除规则）。STORAGE_PORT_OV 经新 StorageOvModule 与 public-ov
  共享同一实例。
- 契约微调登记：PublicAlbum 增 readOnly 必返 downloadEnabled/
  originalDownloadEnabled（cn+ov 同形返回；public e2e 精确键断言同步）。
- viewer：lightbox 下载入口随开关渲染（无/单按钮/分体菜单两选项）、过期
  凭证静默重取一次、微信内置浏览器（MicroMessenger UA）出保存图片指引
  浮层（复制深链 + 反馈）替代直接下载；i18n zh/en 词条。
- tests：api e2e +7（开关矩阵 + URL/字节级断言、水印键一致、隐藏 404、
  限速 429、零计数行）；viewer vitest +9（UA/矩阵/菜单/重取/失败/指引/
  复制）；viewer Playwright +3（入口矩阵、微信 UA 浮层、真实端点 200 +
  签名 URL 模式）。

Co-Authored-By: Claude Code <noreply@anthropic.com>

services/api/src/public-ov/public-ov.module.ts

@@ -1,17 +1,18 @@
 // services/api/src/public-ov/public-ov.module.ts —— ov 公开（观众端）读模块
 // （P2 Task 6）。仅 ov 入口装配（app-ov.module 显式挑选；cn 的 PublicModule
 // 互不影响）。装配：PublicOvController/PublicOvService + OvPrismaModule
-// （非 @Global，显式 import）+ STORAGE_PORT_OV（ov 只读存储约定，见
-// storage-ov.provider 头注）。无认证语义（公开端点匿名）。
+// （非 @Global，显式 import）+ StorageOvModule（STORAGE_PORT_OV，ov 只读存储
+// 约定见 storage-ov.provider 头注；P4a Task 4 起独立模块与 interactions 共享
+// 同一实例）。无认证语义（公开端点匿名）。
 import { Module } from '@nestjs/common';
 import { OvPrismaModule } from '../prisma-ov/ov-prisma.module';
 import { PublicOvController } from './public-ov.controller';
 import { PublicOvService } from './public-ov.service';
-import { storageOvProvider } from './storage-ov.provider';
+import { StorageOvModule } from './storage-ov.module';
 
 @Module({
-  imports: [OvPrismaModule],
+  imports: [OvPrismaModule, StorageOvModule],
   controllers: [PublicOvController],
-  providers: [PublicOvService, storageOvProvider],
+  providers: [PublicOvService],
 })
 export class PublicOvModule {}

services/api/src/public-ov/public-ov.service.ts

@@ -38,8 +38,8 @@ import {
 import { OvPrismaService } from '../prisma-ov/ov-prisma.module';
 import { signedUrlTtlSeconds } from '../uploads/support';
 import { albumNotPublic, photoNotPublic } from '../public/support';
+import { ovBrowseKey, type WatermarkContextOv } from '../shared/ov-browse-key';
 import { STORAGE_PORT_OV } from './storage-ov.provider';
-import { watermarkVariantObjectKey } from '@photo/storage';
 import type { StoragePort } from '@photo/storage';
 
 export type PublicAlbumResponse = components['schemas']['PublicAlbum'];
@@ -84,12 +84,8 @@ interface HotSnapshot {
   expiresAt: number;
 }
 
-/** 相册级水印服务上下文（albums_ov 副本位 + 归属 albumId，见 ovBrowseKey）。 */
-interface WatermarkContext {
-  albumId: string;
-  enabled: boolean;
-  configVersion: number;
-}
+/** 相册级水印服务上下文（shared/ov-browse-key 单一实现；P4a Task 4 起下载端点共用）。 */
+type WatermarkContext = WatermarkContextOv;
 
 /**
  * 热门快照 offset 游标：base64url JSON 数字（快照内下一页起始下标）。快照在
@@ -183,6 +179,10 @@ export class PublicOvService {
       banner,
       // 真实值（Task 8 的 /visits 端点维护计数；此处只读列，无行 = 0）。
       viewCount: stats?.viewCount ?? 0,
+      // 下载两级开关（P4a Task 4）：viewer 按此渲染下载入口（仅 ov 域消费，
+      // cn 同形返回——契约 PublicAlbum 必返字段）。
+      downloadEnabled: album.downloadEnabled,
+      originalDownloadEnabled: album.originalDownloadEnabled,
     };
   }
 
@@ -287,7 +287,7 @@ export class PublicOvService {
       height: photo.height,
       thumb: await this.presign(photo.thumbObjectKey),
       browse: await this.presign(
-        this.ovBrowseKey(
+        ovBrowseKey(
           this.watermarkContext(album),
           photo.photoId,
           photo.browseObjectKey,
@@ -383,7 +383,7 @@ export class PublicOvService {
         height: photo.height,
         thumb: await this.presign(photo.thumbObjectKey),
         browse: await this.presign(
-          this.ovBrowseKey(watermark, photo.photoId, photo.browseObjectKey),
+          ovBrowseKey(watermark, photo.photoId, photo.browseObjectKey),
         ),
         likeCount: photo.likeTotal,
         publishedAt: (photo.publishedAt ?? new Date(0)).toISOString(),
@@ -406,27 +406,14 @@ export class PublicOvService {
   }
 
   /**
-   * ov 浏览图对象键（P4a Task 3）：水印开启时用**模式键**——
-   * variants/{photoId}/{watermarkConfigVersion}/watermark.jpg（同一对象空间，
-   * cn worker 直写；ov 无变体副本表，键由 cn 行结构确定）。副本位携带的是
-   * **有效版本**（albums.watermarkEffectiveVersion，仅 done 任务推进）：该版本
-   * 键的存在性由重生成任务的收尾不变量保证（每张已发布照片处理成功或回退拷贝
-   * 旧图到目标键——失败照片保留旧图，A20），disable 版任务完成后 enabled=false
-   * 回落 browse 内联键（水印键对象保留，历史可溯）。
+   * ov 浏览图对象键（P4a Task 3，Task 4 起为 shared 单一实现）：水印开启时用
+   * **模式键**——variants/{photoId}/{watermarkConfigVersion}/watermark.jpg（同一
+   * 对象空间，cn worker 直写；ov 无变体副本表，键由 cn 行结构确定）。副本位
+   * 携带的是**有效版本**（albums.watermarkEffectiveVersion，仅 done 任务推进）：
+   * 该版本键的存在性由重生成任务的收尾不变量保证（每张已发布照片处理成功或
+   * 回退拷贝旧图到目标键——失败照片保留旧图，A20），disable 版任务完成后
+   * enabled=false 回落 browse 内联键（水印键对象保留，历史可溯）。
    */
-  private ovBrowseKey(
-    watermark: WatermarkContext,
-    photoId: string,
-    browseObjectKey: string,
-  ): string {
-    return watermark.enabled && watermark.configVersion > 0
-      ? watermarkVariantObjectKey(
-          watermark.albumId,
-          photoId,
-          watermark.configVersion,
-        )
-      : browseObjectKey;
-  }
 
   /** publicToken → albums_ov 副本；不存在 / 不可见（含紧急停用）统一 404。 */
   private async findPublicAlbumOv(token: string) {

services/api/src/public-ov/storage-ov.module.ts

@@ -0,0 +1,13 @@
+// services/api/src/public-ov/storage-ov.module.ts —— STORAGE_PORT_OV 的模块化
+// 装配（P4a Task 4）。与 OvPrismaModule/OvRedisModule 同款约定：非 @Global、
+// provide + export，ov 角色模块（public-ov / interactions）显式 import 共享
+// **同一适配器实例**——此前 provider 直挂 PublicOvModule，下载端点（interactions
+// 域）也需要现签 GET 凭证，收敛到独立模块避免各持一份 S3 客户端。
+import { Module } from '@nestjs/common';
+import { storageOvProvider, STORAGE_PORT_OV } from './storage-ov.provider';
+
+@Module({
+  providers: [storageOvProvider],
+  exports: [STORAGE_PORT_OV],
+})
+export class StorageOvModule {}