feat(api): scheduled user sync with mock source (T30 semantics)

P4a Task 7 —— cn 侧用户定期同步（mock 源先行，G4 真实接口到位后仅替换
UserSourcePort provider，引擎/契约/表不变）。

数据模型（db-cn 迁移 20260920114149，utf8mb4_0900_bin 逐表校对）：
- user_sync_runs：批次账本（trigger cron|manual、state running|success|
  partial|failed、cursor 水位、counts JSON、起止时间与错误摘要）；
- user_sync_errors：单批次坏行明细（runId 索引）；
- external_user_mappings：本地↔外部 ID 映射（@@unique([sourceSystem,
  externalUserId])，sourceVersion 逐行高水位）；
- user_sync_state：单行状态（lastRunAt/lastSuccessAt/cursor/runCount）。

同步引擎（UserSyncEngine）：
- Redis SETNX 分布式互斥（TTL 10min，锁值=runId，Lua CAS 释放）；
  定时 tick 与手动触发共用，运行中批次复用 runId（202）；
- 游标增量 + 周期全量对账（RECONCILE_EVERY_N_RUNS 默认 10）；
- 逐页单事务提交（run counts+cursor / state cursor），分页中断→failed
  且水位不前进、会话不动；
- 红线遵守：sync 不写 password_hash/role/album_members/localLocked；
  空/部分页不误伤停用；上游恢复不解除本地锁定；
- 新用户按 pending 建（随机不可用哨兵哈希，激活+重置后方可登录）；
- 停用即撤销该用户全部会话；本地预建同名账号走关联而非重建。

Admin API（/admin/user-sync）：GET status|runs|errors?runId=、POST runs
（202 {runId}）；runs 为 startedAt+ID 倒序游标分页。

auth.service：登录对哨兵/损坏哈希加固（等代价 dummy verify，
401 而非 500，时序平坦）。

测试：user-sync.e2e-spec 12 用例（首轮全量/改名幂等/停用撤会话/
恢复不解锁/新增/空页/分页中断/部分无效/手动互斥/增量+对账/API 形状
与权限/pending 登录门）；api e2e 22 套件 239 用例全绿。

Co-Authored-By: Claude Code <noreply@anthropic.com>

services/api/src/auth/auth.service.ts

@@ -132,7 +132,18 @@ export class AuthService {
 
     // ③ 先验密码再查状态：状态不合格与密码错误同样不可区分（同 401 同文案；
     //    argon2 在两条路径都真实跑过，时延也一致）。
-    if (!(await verifyPassword(user.passwordHash, plainPassword))) {
+    //    哨兵哈希（P4a Task 7：同步创建的待激活账号 passwordHash='!:pending:…'）
+    //    不是合法 argon2 编码——verify 会抛错而非返回 false。此处按密码错误
+    //    处理并补跑等代价 dummy verify（时延与密码错误路径一致，不泄露
+    //    「该账号待激活」），杜绝 500。
+    let passwordOk: boolean;
+    try {
+      passwordOk = await verifyPassword(user.passwordHash, plainPassword);
+    } catch {
+      await verifyPassword(await dummyHash(), plainPassword);
+      passwordOk = false;
+    }
+    if (!passwordOk) {
       this.rateLimiter.recordFailure(rateKey);
       throw invalidCredentials();
     }