feat(api): password change endpoint and source device id on uploads

P3 Task 3 契约增补批次（单一事实来源 openapi.yaml + cn 实现 + e2e）：

- POST /v1/auth/password-change（operationId changePassword，需求 4.1 的
  P1 契约缺口补齐）：Bearer + {oldPassword 1-128, newPassword 8-128} → 204；
  旧密码错误 401 AUTH_INVALID_CREDENTIALS；成功后事务内更新 argon2 哈希、
  撤销该用户除当前会话外的全部其他会话（当前会话保留，本人不下线）、写
  审计 auth.password_change。
- sourceDeviceId（A19 设备来源语义）：UploadInitRequest 可选 8-64 位设备
  标识；upload_sessions 落列（VARCHAR(64) utf8mb4_0900_bin，可空，存量
  行 NULL 兼容）；GET /uploads 条目回显；幂等重放不比对（first-writer，
  首次落库值不随重放漂移）。
- e2e：auth 增 4 例（未认证 401 / 新密码过短 400 / 旧密码错误 401 且会话
  无副作用 / 成功后他端会话撤销当前保留 + 新旧密码登录裁决 + 审计）；
  uploads 增 1 例（携带落库回显、换设备重放保留首值、缺省 null、长度
  越界 400）。api e2e 179 → 184；contracts gen/redocly/单测、worker、
  sync 门全绿。

Co-Authored-By: Claude Code <noreply@anthropic.com>

packages/db-cn/prisma/migrations/20260918164834_upload_sessions_source_device_id/migration.sql

@@ -0,0 +1,7 @@
+-- P3 Task 3：upload_sessions 增 sourceDeviceId（A19 设备来源语义）——客户端
+-- 首次生成并持久化的设备标识，init 时可选携带、会话历史回显；幂等重放保留
+-- 首次落库值（first-writer，见 uploads.service paramsMatch 不比对该项）。
+-- VARCHAR 列显式 utf8mb4_0900_bin（沿用库级约定：--create-only 后手工定校对，
+-- Prisma 生成 DDL 固定 unicode_ci）。可空新列，存量行（NULL=未上报设备）与
+-- 既有流程不受影响。
+ALTER TABLE `upload_sessions` ADD COLUMN `sourceDeviceId` VARCHAR(64) CHARACTER SET utf8mb4 COLLATE utf8mb4_0900_bin NULL;

packages/db-cn/prisma/schema.prisma

@@ -178,18 +178,19 @@ model photo_variants {
   @@unique([photoId, variant])
 }
 model upload_sessions {
-  id           String   @id @default(cuid())
-  userId       String   @db.VarChar(64)
-  albumId      String   @db.VarChar(64)
-  clientTaskId String   @db.VarChar(128)
-  photoId      String   @unique @db.VarChar(64)
-  objectKey    String   @unique @db.VarChar(255) // staging 键
-  expectedBytes Int
-  contentType  String   @db.VarChar(128)
-  multipartId  String?  @db.VarChar(255)
-  state        String   @default("pending") // pending|confirmed|cancelled|expired（对齐契约 UploadSessionState；核验失败是请求级错误不改会话态，expired 由 expiresAt 判定或 sweep 置位）
-  expiresAt    DateTime @db.DateTime(6)
-  createdAt    DateTime @default(now()) @db.DateTime(6)
+  id             String   @id @default(cuid())
+  userId         String   @db.VarChar(64)
+  albumId        String   @db.VarChar(64)
+  clientTaskId   String   @db.VarChar(128)
+  photoId        String   @unique @db.VarChar(64)
+  objectKey      String   @unique @db.VarChar(255) // staging 键
+  expectedBytes  Int
+  contentType    String   @db.VarChar(128)
+  sourceDeviceId String?  @db.VarChar(64) // 客户端设备标识（A19 来源语义；幂等重放保留首值）
+  multipartId    String?  @db.VarChar(255)
+  state          String   @default("pending") // pending|confirmed|cancelled|expired（对齐契约 UploadSessionState；核验失败是请求级错误不改会话态，expired 由 expiresAt 判定或 sweep 置位）
+  expiresAt      DateTime @db.DateTime(6)
+  createdAt      DateTime @default(now()) @db.DateTime(6)
   @@unique([userId, clientTaskId])   // 幂等锚点（A03）
 }
 model photo_jobs {