feat(api): password change endpoint and source device id on uploads

P3 Task 3 契约增补批次（单一事实来源 openapi.yaml + cn 实现 + e2e）：

- POST /v1/auth/password-change（operationId changePassword，需求 4.1 的
  P1 契约缺口补齐）：Bearer + {oldPassword 1-128, newPassword 8-128} → 204；
  旧密码错误 401 AUTH_INVALID_CREDENTIALS；成功后事务内更新 argon2 哈希、
  撤销该用户除当前会话外的全部其他会话（当前会话保留，本人不下线）、写
  审计 auth.password_change。
- sourceDeviceId（A19 设备来源语义）：UploadInitRequest 可选 8-64 位设备
  标识；upload_sessions 落列（VARCHAR(64) utf8mb4_0900_bin，可空，存量
  行 NULL 兼容）；GET /uploads 条目回显；幂等重放不比对（first-writer，
  首次落库值不随重放漂移）。
- e2e：auth 增 4 例（未认证 401 / 新密码过短 400 / 旧密码错误 401 且会话
  无副作用 / 成功后他端会话撤销当前保留 + 新旧密码登录裁决 + 审计）；
  uploads 增 1 例（携带落库回显、换设备重放保留首值、缺省 null、长度
  越界 400）。api e2e 179 → 184；contracts gen/redocly/单测、worker、
  sync 门全绿。

Co-Authored-By: Claude Code <noreply@anthropic.com>

services/api/test/uploads.e2e-spec.ts

@@ -810,6 +810,7 @@ describe('uploads renew & complete & history (e2e)', () => {
       'createdAt',
       'expectedBytes',
       'photo',
+      'sourceDeviceId',
       'state',
       'uploadId',
     ]);
@@ -892,4 +893,52 @@ describe('uploads renew & complete & history (e2e)', () => {
     // 存在其他 member 照片之外的 job。
     expect(byPhoto.size).toBe(2);
   });
+
+  it('sourceDeviceId：init 携带 → 落库并回显；幂等重放换设备保留首值（first-writer）', async () => {
+    // 设备 A 初始化（P3 Task 3 契约增补，A19 设备来源语义）。
+    const first = await initAs(memberToken, 'DEV-1', {
+      sourceDeviceId: 'device-aaaa-1111',
+    });
+
+    const findByTask = async (clientTaskId: string) => {
+      const list = await listUploads(memberToken, { limit: 100 });
+      expect(list.status).toBe(200);
+      return list.body.items.find(
+        (i: { clientTaskId: string }) => i.clientTaskId === clientTaskId,
+      );
+    };
+
+    expect((await findByTask('DEV-1'))?.sourceDeviceId).toBe('device-aaaa-1111');
+
+    // 同 clientTaskId 换设备 B 重放：复用原会话，sourceDeviceId 保留首值。
+    const replay = await initAs(memberToken, 'DEV-1', {
+      sourceDeviceId: 'device-bbbb-2222',
+    });
+    expect(replay.uploadId).toBe(first.uploadId);
+    expect((await findByTask('DEV-1'))?.sourceDeviceId).toBe('device-aaaa-1111');
+
+    // 未携带 → null（老客户端兼容）。
+    await initAs(memberToken, 'DEV-2');
+    expect((await findByTask('DEV-2'))?.sourceDeviceId).toBeNull();
+
+    // 长度越界（<8 / >64）→ 400 VALIDATION_FAILED。
+    const rawInit = (sourceDeviceId: string) =>
+      request(app.getHttpServer())
+        .post(`/${API_PREFIX}/uploads`)
+        .set('Authorization', `Bearer ${memberToken}`)
+        .send({
+          albumId,
+          clientTaskId: 'DEV-bad',
+          filename: 'a.jpg',
+          bytes: 1000,
+          contentType: 'image/jpeg',
+          sourceDeviceId,
+        });
+    const tooShort = await rawInit('short7');
+    expect(tooShort.status).toBe(400);
+    expect(tooShort.body.code).toBe(ErrorCodes.VALIDATION_FAILED);
+    const tooLong = await rawInit('x'.repeat(65));
+    expect(tooLong.status).toBe(400);
+    expect(tooLong.body.code).toBe(ErrorCodes.VALIDATION_FAILED);
+  });
 });