feat(ov): ov schema, entry skeleton and compose profile

P2 Task 2 ov 数据层：
- compose ov profile：mysql-ov（mysql:8.4，127.0.0.1:3309，库级
  utf8mb4_0900_bin）+ redis-ov（6381），cn 侧默认 up 不受影响
  （3307/3308 已被其它本机项目占用，端口决策 3309）
- @photo/db-ov：9 表 schema（albums_ov/photos_ov 副本、sync_inbox/
  sync_state 同步账本（水位行同表标志位）、like_batches/album_stats/
  visit_sessions/visit_requests 互动域、outbox_stat_events 回传队列）；
  迁移 20260918060102_init_ov 走固化校对手决流程，information_schema
  复核全部业务表/列 utf8mb4_0900_bin（_prisma_migrations 同 cn 先例
  保持 unicode_ci）
- generator 独立 output（包内 generated/）：pnpm 将两包 @prisma/client
  提升为同一 store 实例，默认 .prisma/client 输出会被双 schema 互相
  覆盖，ov 客户端独立产出经 src/index.ts 转出口
- ov 入口骨架：main-ov.ts（PORT_OV 默认 8081）+ app-ov.module.ts
  （仅管线骨架 + /v1/health，feature modules 后续任务装配）；logger
  装配选项抽取至 shared/logger-options.ts 供 cn/ov 双入口共用（行为
  不变，P1 套件守护）
- test/reset-ov.ts：ov 库 truncate-if-exists 隔离工具（无 MinIO 清理）
- 根脚本：db:generate 双库齐跑，新增 db-ov:migrate/db-ov:generate/dev:ov

Co-Authored-By: Claude Code <noreply@anthropic.com>

services/api/jest.config.ts

@@ -27,6 +27,8 @@ const config: Config = {
   moduleNameMapper: {
     '^@photo/contracts$': '<rootDir>/../../packages/contracts/src/index.ts',
     '^@photo/db-cn$': '<rootDir>/../../packages/db-cn/src/index.ts',
+    // P2 Task 2 起：@photo/db-ov 同样映射（test/reset-ov.ts 与后续 ov 模块）。
+    '^@photo/db-ov$': '<rootDir>/../../packages/db-ov/src/index.ts',
     // Task 18 起：@photo/storage 同样映射到 TS 源码（其依赖 @aws-sdk/* 与
     // @photo/contracts 分别从 storage 包 node_modules / 上面的映射解析）。
     '^@photo/storage$': '<rootDir>/../../packages/storage/src/index.ts',

services/api/package.json

@@ -7,6 +7,7 @@
     "build": "tsc -p tsconfig.build.json",
     "build:watch": "tsc -p tsconfig.build.json --watch",
     "start": "tsc -p tsconfig.build.json && node dist/main-cn.js",
+    "start:ov": "tsc -p tsconfig.build.json && node dist/main-ov.js",
     "seed": "tsc -p tsconfig.build.json && node dist/scripts/seed-admin.js",
     "typecheck": "tsc --noEmit",
     "lint": "eslint .",
@@ -20,6 +21,7 @@
     "@node-rs/argon2": "^2.2.1",
     "@photo/contracts": "workspace:*",
     "@photo/db-cn": "workspace:*",
+    "@photo/db-ov": "workspace:*",
     "@photo/storage": "workspace:^",
     "bullmq": "^6.3.6",
     "class-transformer": "^0.5.1",

services/api/src/app-cn.module.ts

@@ -14,7 +14,6 @@ import {
 } from '@nestjs/common';
 import { APP_FILTER, APP_PIPE } from '@nestjs/core';
 import { LoggerModule } from 'nestjs-pino';
-import type { IncomingMessage, ServerResponse } from 'node:http';
 import { AlbumsModule } from './albums/albums.module';
 import { AdminModule } from './admin/admin.module';
 import { AllExceptionsFilter } from './all-exceptions.filter';
@@ -23,10 +22,11 @@ import { HealthController } from './health.controller';
 import { PhotosModule } from './photos/photos.module';
 import { PrismaModule } from './prisma/prisma.module';
 import { PublicModule } from './public/public.module';
-import { RequestIdMiddleware, resolveRequestId } from './request-id.middleware';
+import { RequestIdMiddleware } from './request-id.middleware';
 import { UploadsModule } from './uploads/uploads.module';
-import { resolveLogLevel } from './shared/log-level';
-import type { ServerRequestWithId } from './shared/request-with-id';
+// P2 Task 2：logger 装配选项（genReqId/redact/level）收敛至 shared，与 ov 入口
+// 共用单一来源；此处仅消费，行为不变（P1 e2e 套件守护）。
+import { createLoggerOptions } from './shared/logger-options';
 
 @Module({
   imports: [
@@ -44,28 +44,7 @@ import type { ServerRequestWithId } from './shared/request-with-id';
     PhotosModule,
     // 管理辅助域（P1b Task 4：/admin/users 账号前缀查询）。
     AdminModule,
-    LoggerModule.forRoot({
-      pinoHttp: {
-        // 与 RequestIdMiddleware 共用同一解析函数：优先透传 x-request-id，
-        // 其次复用已生成的 req.id，否则生成 UUID；并回写响应头。
-        genReqId: (req: IncomingMessage, res: ServerResponse) =>
-          resolveRequestId(req as ServerRequestWithId, res),
-        redact: {
-          // 授权头 + Cookie（会话凭据，Task 7 遗留项③）：请求/响应两侧都打码，
-          // 防止日志聚合层留存可重放的凭据。
-          paths: [
-            'req.headers.authorization',
-            'req.headers.cookie',
-            'res.headers.authorization',
-            'res.headers.set-cookie',
-          ],
-          censor: '[REDACTED]',
-        },
-        // Task 7 遗留项⑤：非法 LOG_LEVEL 在模块装配期（即启动期）快速失败，
-        // 而不是让 pino 首次写日志时才炸或静默吞掉输出。
-        level: resolveLogLevel(process.env.LOG_LEVEL),
-      },
-    }),
+    LoggerModule.forRoot(createLoggerOptions()),
   ],
   controllers: [HealthController],
   providers: [

services/api/src/app-ov.module.ts

@@ -0,0 +1,35 @@
+// services/api/src/app-ov.module.ts —— OV（海外观众）部署根模块（P2 Task 2 骨架）。
+// 与 app-cn.module.ts 同一管线骨架（日志 + request-id + 全局异常过滤器 + 全局
+// 校验管道 + /v1/health），但**显式挑选** ov 角色模块：cn 专属域（auth/albums/
+// uploads/photos/admin——写路径与 MinIO 上传）不装配；OvPrismaService、公开读、
+// sync-inbox、likes/visits、WS 网关自 Task 3+ 起逐个加入（本任务仅骨架，
+// feature modules 在后续任务装配）。cn 模块保持原样，两入口互不影响。
+import {
+  type MiddlewareConsumer,
+  Module,
+  type NestModule,
+  ValidationPipe,
+} from '@nestjs/common';
+import { APP_FILTER, APP_PIPE } from '@nestjs/core';
+import { LoggerModule } from 'nestjs-pino';
+import { AllExceptionsFilter } from './all-exceptions.filter';
+import { HealthController } from './health.controller';
+import { RequestIdMiddleware } from './request-id.middleware';
+import { createLoggerOptions } from './shared/logger-options';
+
+@Module({
+  imports: [LoggerModule.forRoot(createLoggerOptions())],
+  controllers: [HealthController],
+  providers: [
+    { provide: APP_FILTER, useClass: AllExceptionsFilter },
+    {
+      provide: APP_PIPE,
+      useFactory: () => new ValidationPipe({ whitelist: true }),
+    },
+  ],
+})
+export class AppOvModule implements NestModule {
+  configure(consumer: MiddlewareConsumer): void {
+    consumer.apply(RequestIdMiddleware).forRoutes('*');
+  }
+}

services/api/src/main-ov.ts

@@ -0,0 +1,25 @@
+// services/api/src/main-ov.ts —— ov-app 部署入口（P2 Task 2 骨架）。与 main-cn
+// 同库双入口：同一 services/api 代码库按部署角色装配（见 app-ov.module.ts）。
+// 复用 configureApp（全局 v1 前缀 / x-powered-by 隐藏 / CORS）——契约「路径前缀
+// 不变，部署域名区分」，ov 观众端（viewer :5175，P2 Task 10 切换 VITE_API_BASE
+// 指向本入口）与 cn viewer 共用 CORS_ORIGINS env，无需 ov 专属配置。env 一律
+// 来自进程环境（根 dotenv-cli 注入）。
+import 'reflect-metadata';
+import { NestFactory } from '@nestjs/core';
+import { type NestExpressApplication } from '@nestjs/platform-express';
+import { Logger } from 'nestjs-pino';
+import { AppOvModule } from './app-ov.module';
+import { configureApp } from './shared/configure-app';
+
+async function bootstrap(): Promise<void> {
+  const app = await NestFactory.create<NestExpressApplication>(AppOvModule, {
+    bufferLogs: true,
+  });
+  app.useLogger(app.get(Logger));
+  configureApp(app);
+  const port = Number.parseInt(process.env.PORT_OV ?? '', 10) || 8081;
+  await app.listen(port);
+  app.get(Logger).log(`api-ov listening on port ${port}`);
+}
+
+void bootstrap();

services/api/src/shared/logger-options.ts

@@ -0,0 +1,33 @@
+// services/api/src/shared/logger-options.ts —— LoggerModule 装配选项单一来源
+// （P2 Task 2 抽取：此前内联在 app-cn.module.ts，ov 入口需要完全相同的
+// request-id 解析与凭据打码配置，复制一份即两处漂移点，故收敛于此；cn 模块
+// 改为消费本函数，行为不变，由 P1 e2e 套件守护）。
+import type { IncomingMessage, ServerResponse } from 'node:http';
+import { resolveLogLevel } from './log-level';
+import { resolveRequestId } from '../request-id.middleware';
+import type { ServerRequestWithId } from './request-with-id';
+
+export function createLoggerOptions() {
+  return {
+    pinoHttp: {
+      // 与 RequestIdMiddleware 共用同一解析函数：优先透传 x-request-id，
+      // 其次复用已生成的 req.id，否则生成 UUID；并回写响应头。
+      genReqId: (req: IncomingMessage, res: ServerResponse) =>
+        resolveRequestId(req as ServerRequestWithId, res),
+      redact: {
+        // 授权头 + Cookie（会话凭据，Task 7 遗留项③）：请求/响应两侧都打码，
+        // 防止日志聚合层留存可重放的凭据。
+        paths: [
+          'req.headers.authorization',
+          'req.headers.cookie',
+          'res.headers.authorization',
+          'res.headers.set-cookie',
+        ],
+        censor: '[REDACTED]',
+      },
+      // Task 7 遗留项⑤：非法 LOG_LEVEL 在模块装配期（即启动期）快速失败，
+      // 而不是让 pino 首次写日志时才炸或静默吞掉输出。
+      level: resolveLogLevel(process.env.LOG_LEVEL),
+    },
+  };
+}

services/api/test/reset-ov.ts

@@ -0,0 +1,52 @@
+// services/api/test/reset-ov.ts —— ov 库（photo_ov）e2e 隔离工具（P2 Task 2）。
+// 与 reset.ts 镜像但独立成文件：两库连接串不同（DATABASE_URL_OV vs _CN），
+// RESET_TABLES 互不重叠，cn/ov spec 各自 beforeAll 调用，互不清对方的数据。
+// 与 reset.ts 的两点差异：
+//   1. 无 MinIO 清理——ov 侧 P2 只读对象（签名 URL 指向同一 MinIO，上传仍归
+//      cn 侧 e2e 的前缀清理负责）；
+//   2. truncate-if-exists——经 information_schema 取「库中实际存在的待重置表」
+//      再逐表 TRUNCATE（MySQL 无 TRUNCATE IF EXISTS）：首次迁移前的空库上
+//      调用是 no-op 而非报错，ov 库生命周期独立于 cn 库（compose profile ov）。
+// ov 全库扁平字符串外键、无 FK 约束，FOREIGN_KEY_CHECKS 包裹仅沿用 reset.ts
+// 的防御性约定（后续如引入约束同样安全）；表序仍按逻辑依赖排列（子表在前）。
+import { PrismaClient } from '@photo/db-ov';
+
+export const RESET_TABLES_OV: readonly string[] = [
+  // 统计回传队列与互动流水（Task 7-9 的幂等锚点）。
+  'outbox_stat_events',
+  'visit_requests',
+  'visit_sessions',
+  'like_batches',
+  'album_stats',
+  // 同步账本（Task 4 inbox 消费）。
+  'sync_inbox',
+  'sync_state',
+  // 副本域（photos 先于 albums）。
+  'photos_ov',
+  'albums_ov',
+];
+
+/** TRUNCATE photo_ov 中 RESET_TABLES_OV 里**实际存在**的表（空库安全）。 */
+export async function resetOvDb(): Promise<void> {
+  const prisma = new PrismaClient();
+  try {
+    const placeholders = RESET_TABLES_OV.map(() => '?').join(', ');
+    const existing = await prisma.$queryRawUnsafe<
+      { tableName: string }[]
+    >(
+      `SELECT TABLE_NAME AS tableName FROM information_schema.TABLES ` +
+        `WHERE TABLE_SCHEMA = DATABASE() AND TABLE_NAME IN (${placeholders})`,
+      ...RESET_TABLES_OV,
+    );
+    await prisma.$executeRawUnsafe('SET FOREIGN_KEY_CHECKS = 0');
+    try {
+      for (const { tableName } of existing) {
+        await prisma.$executeRawUnsafe(`TRUNCATE TABLE \`${tableName}\``);
+      }
+    } finally {
+      await prisma.$executeRawUnsafe('SET FOREIGN_KEY_CHECKS = 1');
+    }
+  } finally {
+    await prisma.$disconnect();
+  }
+}