feat(api): add client app service endpoints

docs/03-用户端App需求.md

@@ -90,3 +90,11 @@ Flutter App 使用底部导航：智能瓶阀控制、商城、收藏、订单
 - 一键紧急关阀、告警静默时段（不影响高风险告警）、语音/无障碍辅助。
 - 安全知识考试、服务评价、发票申请、预约改期、订阅式巡检服务。
 - 后续可扩展设备蓝牙离线诊断、气瓶换新提醒、余量预测、异常用气提醒、电子保修卡和家庭成员用气对比。
+
+## 6. 首期 Client API 落地边界（2026-07）
+
+- 用户端 API 固定为 `/heqi/client/v1/user`，令牌客户端为 `user_app`，不得与任何后台或工作人员令牌互用。
+- 首期实现手机号密码/验证码登录、普通注册、邀请注册、资料、地址、服务归属、已发布内容与阅读确认、商城下单和余额支付、物流查询/确认收货、供气合同及订单查询、工单、钱包充值/提现/银行卡。邀请注册可携带气站 `identity` 和可选配送点 `identity`，服务端在事务内校验组织关系并建立唯一服务归属。
+- 充值先创建待支付订单；仅开发配置允许 Mock 支付确认，确认后才写余额及不可变流水。微信和支付宝未配置渠道时必须明确返回不可用，不得模拟成功。
+- 商城订单交易状态与物流状态分离；物流单号、公司、发货和收货时间由服务端保存，用户只能查看本人订单并确认收货。
+- 首期不伪造设备控制、安全事件、押金、消息、发票、收藏、紧急联系人、账户注销和完整售后能力；文档中这些能力保留为后续迭代，不得以静态成功响应冒充已实现。

docs/04-服务端App需求.md

@@ -114,3 +114,12 @@
 
 - 资质到期、培训考试、工具/车辆检查、评分、服务超时和异常率看板。
 - 维修知识库、远程专家会诊、备件领用、语音转写、电子保修卡和用户回访。
+
+## 8. 首期 Client API 落地边界（2026-07）
+
+- 工作人员 API 固定为 `/heqi/client/v1/staff`，令牌客户端为 `service_app`；不提供注册，只允许后台已创建、启用且岗位受支持的账户登录。
+- 首期岗位为配送、安装维修、安检。安装/维修工单只分派给安装维修人员，安检/复检只分派给安检人员，客服类工单不进入工作人员 App。
+- 工单统一复用 `cs_ticket`，状态为待分派、已分派、处理中、异常、待用户确认、已完成或已取消。工作人员只能操作分派给本人的工单；现场结果必须包含定位、原始采集时间、上传资源地址和幂等号。
+- 安装和维修至少提交前、中、后图片及用户签名；安检和复检至少提交一张图片、结果及用户签名。单次最多六张图片、三段视频。不合规或高风险结论只能进入异常，不能提交待用户确认。
+- 配送人员只操作分派给本人的供气配送订单，可开始配送、批量补传轨迹、到达校验、异常/恢复和提交签收；不能修改订单金额。到达以订单地址坐标和配置地理围栏为准。
+- 工作人员钱包与用户钱包复用统一模型，支持余额、充值订单、不可变流水、提现及银行卡；服务收入只能由已完成业务事实产生，客户端不能直接增加余额。

docs/11-数据接口与安全.md

@@ -99,3 +99,12 @@
 - PostgreSQL 至少每日全量、持续 WAL 归档并定期演练恢复；安全事件、订单和资金数据定义更严格 RPO/RTO。
 - 对象存储启用版本/生命周期策略，合同和安全证据按合规期限留存；备份不得绕开数据加密和访问控制。
 - 关键服务多实例部署，MQTT、数据库、消息队列和对象存储须有明确高可用方案和故障演练计划。
+
+## 6. 移动 Client API 安全实施约定
+
+- 用户端和工作人员端分别使用 `user_app`、`service_app` JWT client claim；服务端逐请求校验 client、账户启用状态、岗位、组织和对象归属。
+- 验证码由 `/auth/verification-code` 创建，Redis 保存五分钟、验证成功即删除，并按手机号及来源 IP 限流；响应只返回请求 `identity` 和有效期。开发 Mock 验证码从 `Global` 配置读取，生产必须关闭。
+- 银行卡号、身份证号、预留手机号使用 `Global.FieldEncryptionKey` 经 HKDF 派生独立 AES-GCM 加密键和 HMAC 指纹键；接口列表只返回末四位掩码。开发占位密钥不得用于生产。
+- 支付密码独立于登录密码，仅允许六位数字，使用 bcrypt 保存；连续失败达到阈值后在 Redis 短时锁定。绑卡、解绑、余额支付和提现均要求支付密码或限定用途的一次性验证码。
+- 公共上传接口 `/upload/file` 必须携带平台、气站、配送点、用户或工作人员任一合法 JWT；图片/PDF 最大 10MB，视频上限从配置读取。上传只返回资源 URI，业务接口负责建立关联并记录操作者、采集与接收时间。
+- 充值、支付、提现、工单证据、轨迹点、内容确认等写入均携带幂等号；资金入账在数据库事务内锁定钱包并同时写不可变流水。