feat(viewer): embed carousel iframe with visibility pause

P4b Task 4：宿主 loader 以 iframe 载入的轮播页（/embed/:slotToken，裸布局）。

- src/embed/feed.ts：纯函数集——A22 旧响应裁决（dispatch seq + configVersion
  双闸：过期/回看丢弃、等值差分合并、升值全量重置）、照片队列差分（新照片
  追加队尾、缺席淘汰、thumb 签名刷新）、interval/高度夹取、轮询退避；
- src/embed/useEmbedFeed.ts：取数编排（If-None-Match → 304 零处理）、轮询
  （查询 interval 覆盖 → EMBED_POLL_INTERVAL_MS，连续 5 失败 ×5 退避，成功
  归零；404/410 静默 collapse 隐藏自身）、A23 不可见暂停（document 隐藏 +
  IntersectionObserver 滚出视口 + 本地收起；恢复立即校准）、轮播 intervalMs
  切换；__embedPollMs e2e 注入点；
- src/embed/postMessage.ts：上行 resize/collapse（referrer origin 收敛，缺失
  退 '*'——载荷无敏感数据，宿主侧 loader source+origin 双校验）、下行 expand
  （event.source === window.parent 白名单）；
- EmbedPage.vue：交叉淡入淡出（仅 thumb 小图省流量）、点击 window.open 单图
  深链（noopener）、计数圆点、「照片即将上线」空态卡、×收起；lang 查询
  （auto→相册 defaultLocale）驱动嵌入词条子集；
- api client：fetchPublicEmbedSlot（304/ETag 分支，不走 apiRequest）；
- e2e：宿主夹具页 public/__test__/embed-host.html（仅测试资产）+ embed.spec 7
  用例（轮换/新标签深链/收起记忆/窄屏 sm/轮询增量/换绑重置/空态/幽灵槽）；
  helpers 增展示位 admin API 种子 + flushOutbox；
- vitest 18 用例（裁决矩阵/队列差分/夹取/退避/304/可见性状态机）。

配套修正：api CORS exposedHeaders ETag（跨源浏览器可读，304 语义成立）；
contracts 新增浏览器安全子路径 ./constants（根出口 re-export internal-sync
的 node:crypto 会打进浏览器包）；eslint ignore embed-loader 产物拷贝
（Task 3 起 viewer lint 红，先修）。

Co-Authored-By: Claude Code <noreply@anthropic.com>

apps/viewer/src/embed/postMessage.ts

@@ -0,0 +1,50 @@
+// apps/viewer/src/embed/postMessage.ts —— 嵌入 iframe ↔ 宿主 loader 消息通道
+// （P4b Task 4）。协议与白名单模型见 packages/embed-loader（README-embed.md）：
+// 载荷恒为 {photoliveEmbed: true, type: 'resize'|'collapse'|..., ...}。
+//
+// 上行（iframe → 宿主）：resize（高度）/ collapse（收起，宿主侧高度 0 + 把手）。
+// 目标 origin 尽量收敛到 document.referrer 的源（loader 的 iframe 带
+// no-referrer-when-downgrade，宿主正常配置下可得完整来源 URL）；referrer 被宿主
+// 隐去时退回 '*'——载荷仅含高度/收起意图，无敏感数据，且宿主侧 loader 以
+// 「event.source === 已登记 iframe && event.origin === iframe 源」双重严格校验，
+// 通配目标不构成越权面。
+//
+// 下行（宿主 → iframe）：expand（把手点击恢复）——只认 event.source ===
+// window.parent 且载荷形状匹配（source 校验即充分：宿主页内任意脚本无法伪造
+// parent 窗口引用；loader 对上行另有 origin 全等白名单）。
+export type EmbedUpMessage =
+  | { photoliveEmbed: true; type: 'resize'; height: number }
+  | { photoliveEmbed: true; type: 'collapse' };
+
+/** 宿主源（referrer 推导）；取不到（被隐去/直接打开）为 null。 */
+export function embedParentOrigin(): string | null {
+  try {
+    if (document.referrer === '') return null;
+    return new URL(document.referrer).origin;
+  } catch {
+    return null;
+  }
+}
+
+/** 上行发送：无父窗（直接打开开发/测试）静默跳过，绝不抛错。 */
+export function postEmbedMessage(message: EmbedUpMessage): void {
+  if (typeof window === 'undefined' || window.parent === window) return;
+  try {
+    window.parent.postMessage(message, embedParentOrigin() ?? '*');
+  } catch {
+    /* 静默：嵌入环境异常不得外显 */
+  }
+}
+
+/** 订阅宿主 expand；返回取消函数。 */
+export function onEmbedExpand(handler: () => void): () => void {
+  const listener = (event: MessageEvent): void => {
+    if (window.parent === window || event.source !== window.parent) return;
+    const data = event.data as { photoliveEmbed?: unknown; type?: unknown } | null;
+    if (data === null || typeof data !== 'object') return;
+    if (data.photoliveEmbed !== true || data.type !== 'expand') return;
+    handler();
+  };
+  window.addEventListener('message', listener);
+  return () => window.removeEventListener('message', listener);
+}