feat(ov): ov schema, entry skeleton and compose profile

P2 Task 2 ov 数据层：
- compose ov profile：mysql-ov（mysql:8.4，127.0.0.1:3309，库级
  utf8mb4_0900_bin）+ redis-ov（6381），cn 侧默认 up 不受影响
  （3307/3308 已被其它本机项目占用，端口决策 3309）
- @photo/db-ov：9 表 schema（albums_ov/photos_ov 副本、sync_inbox/
  sync_state 同步账本（水位行同表标志位）、like_batches/album_stats/
  visit_sessions/visit_requests 互动域、outbox_stat_events 回传队列）；
  迁移 20260918060102_init_ov 走固化校对手决流程，information_schema
  复核全部业务表/列 utf8mb4_0900_bin（_prisma_migrations 同 cn 先例
  保持 unicode_ci）
- generator 独立 output（包内 generated/）：pnpm 将两包 @prisma/client
  提升为同一 store 实例，默认 .prisma/client 输出会被双 schema 互相
  覆盖，ov 客户端独立产出经 src/index.ts 转出口
- ov 入口骨架：main-ov.ts（PORT_OV 默认 8081）+ app-ov.module.ts
  （仅管线骨架 + /v1/health，feature modules 后续任务装配）；logger
  装配选项抽取至 shared/logger-options.ts 供 cn/ov 双入口共用（行为
  不变，P1 套件守护）
- test/reset-ov.ts：ov 库 truncate-if-exists 隔离工具（无 MinIO 清理）
- 根脚本：db:generate 双库齐跑，新增 db-ov:migrate/db-ov:generate/dev:ov

Co-Authored-By: Claude Code <noreply@anthropic.com>

services/api/src/app-cn.module.ts

@@ -14,7 +14,6 @@ import {
 } from '@nestjs/common';
 import { APP_FILTER, APP_PIPE } from '@nestjs/core';
 import { LoggerModule } from 'nestjs-pino';
-import type { IncomingMessage, ServerResponse } from 'node:http';
 import { AlbumsModule } from './albums/albums.module';
 import { AdminModule } from './admin/admin.module';
 import { AllExceptionsFilter } from './all-exceptions.filter';
@@ -23,10 +22,11 @@ import { HealthController } from './health.controller';
 import { PhotosModule } from './photos/photos.module';
 import { PrismaModule } from './prisma/prisma.module';
 import { PublicModule } from './public/public.module';
-import { RequestIdMiddleware, resolveRequestId } from './request-id.middleware';
+import { RequestIdMiddleware } from './request-id.middleware';
 import { UploadsModule } from './uploads/uploads.module';
-import { resolveLogLevel } from './shared/log-level';
-import type { ServerRequestWithId } from './shared/request-with-id';
+// P2 Task 2：logger 装配选项（genReqId/redact/level）收敛至 shared，与 ov 入口
+// 共用单一来源；此处仅消费，行为不变（P1 e2e 套件守护）。
+import { createLoggerOptions } from './shared/logger-options';
 
 @Module({
   imports: [
@@ -44,28 +44,7 @@ import type { ServerRequestWithId } from './shared/request-with-id';
     PhotosModule,
     // 管理辅助域（P1b Task 4：/admin/users 账号前缀查询）。
     AdminModule,
-    LoggerModule.forRoot({
-      pinoHttp: {
-        // 与 RequestIdMiddleware 共用同一解析函数：优先透传 x-request-id，
-        // 其次复用已生成的 req.id，否则生成 UUID；并回写响应头。
-        genReqId: (req: IncomingMessage, res: ServerResponse) =>
-          resolveRequestId(req as ServerRequestWithId, res),
-        redact: {
-          // 授权头 + Cookie（会话凭据，Task 7 遗留项③）：请求/响应两侧都打码，
-          // 防止日志聚合层留存可重放的凭据。
-          paths: [
-            'req.headers.authorization',
-            'req.headers.cookie',
-            'res.headers.authorization',
-            'res.headers.set-cookie',
-          ],
-          censor: '[REDACTED]',
-        },
-        // Task 7 遗留项⑤：非法 LOG_LEVEL 在模块装配期（即启动期）快速失败，
-        // 而不是让 pino 首次写日志时才炸或静默吞掉输出。
-        level: resolveLogLevel(process.env.LOG_LEVEL),
-      },
-    }),
+    LoggerModule.forRoot(createLoggerOptions()),
   ],
   controllers: [HealthController],
   providers: [

services/api/src/app-ov.module.ts

@@ -0,0 +1,35 @@
+// services/api/src/app-ov.module.ts —— OV（海外观众）部署根模块（P2 Task 2 骨架）。
+// 与 app-cn.module.ts 同一管线骨架（日志 + request-id + 全局异常过滤器 + 全局
+// 校验管道 + /v1/health），但**显式挑选** ov 角色模块：cn 专属域（auth/albums/
+// uploads/photos/admin——写路径与 MinIO 上传）不装配；OvPrismaService、公开读、
+// sync-inbox、likes/visits、WS 网关自 Task 3+ 起逐个加入（本任务仅骨架，
+// feature modules 在后续任务装配）。cn 模块保持原样，两入口互不影响。
+import {
+  type MiddlewareConsumer,
+  Module,
+  type NestModule,
+  ValidationPipe,
+} from '@nestjs/common';
+import { APP_FILTER, APP_PIPE } from '@nestjs/core';
+import { LoggerModule } from 'nestjs-pino';
+import { AllExceptionsFilter } from './all-exceptions.filter';
+import { HealthController } from './health.controller';
+import { RequestIdMiddleware } from './request-id.middleware';
+import { createLoggerOptions } from './shared/logger-options';
+
+@Module({
+  imports: [LoggerModule.forRoot(createLoggerOptions())],
+  controllers: [HealthController],
+  providers: [
+    { provide: APP_FILTER, useClass: AllExceptionsFilter },
+    {
+      provide: APP_PIPE,
+      useFactory: () => new ValidationPipe({ whitelist: true }),
+    },
+  ],
+})
+export class AppOvModule implements NestModule {
+  configure(consumer: MiddlewareConsumer): void {
+    consumer.apply(RequestIdMiddleware).forRoutes('*');
+  }
+}

services/api/src/main-ov.ts

@@ -0,0 +1,25 @@
+// services/api/src/main-ov.ts —— ov-app 部署入口（P2 Task 2 骨架）。与 main-cn
+// 同库双入口：同一 services/api 代码库按部署角色装配（见 app-ov.module.ts）。
+// 复用 configureApp（全局 v1 前缀 / x-powered-by 隐藏 / CORS）——契约「路径前缀
+// 不变，部署域名区分」，ov 观众端（viewer :5175，P2 Task 10 切换 VITE_API_BASE
+// 指向本入口）与 cn viewer 共用 CORS_ORIGINS env，无需 ov 专属配置。env 一律
+// 来自进程环境（根 dotenv-cli 注入）。
+import 'reflect-metadata';
+import { NestFactory } from '@nestjs/core';
+import { type NestExpressApplication } from '@nestjs/platform-express';
+import { Logger } from 'nestjs-pino';
+import { AppOvModule } from './app-ov.module';
+import { configureApp } from './shared/configure-app';
+
+async function bootstrap(): Promise<void> {
+  const app = await NestFactory.create<NestExpressApplication>(AppOvModule, {
+    bufferLogs: true,
+  });
+  app.useLogger(app.get(Logger));
+  configureApp(app);
+  const port = Number.parseInt(process.env.PORT_OV ?? '', 10) || 8081;
+  await app.listen(port);
+  app.get(Logger).log(`api-ov listening on port ${port}`);
+}
+
+void bootstrap();

services/api/src/shared/logger-options.ts

@@ -0,0 +1,33 @@
+// services/api/src/shared/logger-options.ts —— LoggerModule 装配选项单一来源
+// （P2 Task 2 抽取：此前内联在 app-cn.module.ts，ov 入口需要完全相同的
+// request-id 解析与凭据打码配置，复制一份即两处漂移点，故收敛于此；cn 模块
+// 改为消费本函数，行为不变，由 P1 e2e 套件守护）。
+import type { IncomingMessage, ServerResponse } from 'node:http';
+import { resolveLogLevel } from './log-level';
+import { resolveRequestId } from '../request-id.middleware';
+import type { ServerRequestWithId } from './request-with-id';
+
+export function createLoggerOptions() {
+  return {
+    pinoHttp: {
+      // 与 RequestIdMiddleware 共用同一解析函数：优先透传 x-request-id，
+      // 其次复用已生成的 req.id，否则生成 UUID；并回写响应头。
+      genReqId: (req: IncomingMessage, res: ServerResponse) =>
+        resolveRequestId(req as ServerRequestWithId, res),
+      redact: {
+        // 授权头 + Cookie（会话凭据，Task 7 遗留项③）：请求/响应两侧都打码，
+        // 防止日志聚合层留存可重放的凭据。
+        paths: [
+          'req.headers.authorization',
+          'req.headers.cookie',
+          'res.headers.authorization',
+          'res.headers.set-cookie',
+        ],
+        censor: '[REDACTED]',
+      },
+      // Task 7 遗留项⑤：非法 LOG_LEVEL 在模块装配期（即启动期）快速失败，
+      // 而不是让 pino 首次写日志时才炸或静默吞掉输出。
+      level: resolveLogLevel(process.env.LOG_LEVEL),
+    },
+  };
+}