✨ feat: WP-14 运营收口——诊断双授权、管理面治理、支持包、观测与自托管

- 迁移 16：diagnostic_grant（token 哈希唯一、15 分钟、单次、绑定 Run）+ user.role（user/admin 检查约束）
- 诊断双授权（ADR-004）：本人签发 grant（明文 token 只返回一次，库存 SHA-256）；读取需登录态 + Hunjing-Diagnostic-Token + Purpose 三重匹配；单次消耗（重放 401）、用途不符 403、响应 no-store/private；返回观测摘要（usage/TTFT/工具轨迹）不含消息正文
- 管理面：pending 司议案列表与处置（content_removed 联动下架目标内容——治理闭环）；非管理员 403
- 脱敏支持包：统计聚合（runs/messages/tool/media 按状态），无正文无密钥
- 观测：GET /readyz（DB 连通）与 GET /metrics（Prometheus 文本，真实 SQL 聚合）
- 自托管：docker/Dockerfile.backend（uv 构建）+ docker-compose.app.yml（hunjing-api + hunjing-postgres 健康依赖、密码经 .env）；Makefile 新增 selfhost-up/down、db-dump/db-restore（备份到 backups/）
- 测试 94 项全绿（+3）：诊断全路径（无令牌/用途不符/成功/单次重放）、管理面处置联动、支持包与指标

backend/alembic/versions/89a4ed9647ee_诊断授权与管理员角色.py

@@ -0,0 +1,49 @@
+"""诊断授权与管理员角色
+
+Revision ID: 89a4ed9647ee
+Revises: 52be875c14a4
+Create Date: 2026-09-12 11:14:22.131144
+
+"""
+from collections.abc import Sequence
+
+import sqlalchemy as sa
+
+from alembic import op
+
+# revision identifiers, used by Alembic.
+revision: str = '89a4ed9647ee'
+down_revision: str | Sequence[str] | None = '52be875c14a4'
+branch_labels: str | Sequence[str] | None = None
+depends_on: str | Sequence[str] | None = None
+
+
+def upgrade() -> None:
+    """Upgrade schema."""
+    # ### commands auto generated by Alembic - please adjust! ###
+    op.create_table('diagnostic_grant',
+    sa.Column('id', sa.String(), nullable=False),
+    sa.Column('run_id', sa.String(), nullable=False),
+    sa.Column('domain_id', sa.String(), nullable=False),
+    sa.Column('purpose', sa.String(), nullable=False),
+    sa.Column('token_hash', sa.String(), nullable=False),
+    sa.Column('expires_at', sa.DateTime(timezone=True), nullable=False),
+    sa.Column('used_at', sa.DateTime(timezone=True), nullable=True),
+    sa.Column('created_at', sa.DateTime(timezone=True), server_default=sa.text('now()'), nullable=False),
+    sa.ForeignKeyConstraint(['domain_id'], ['personal_domain.id'], name=op.f('fk_diagnostic_grant_personal_domain'), ondelete='cascade'),
+    sa.ForeignKeyConstraint(['run_id'], ['run.id'], name=op.f('fk_diagnostic_grant_run'), ondelete='cascade'),
+    sa.PrimaryKeyConstraint('id', name=op.f('pk_diagnostic_grant')),
+    sa.UniqueConstraint('token_hash', name=op.f('uq_diagnostic_grant_token_hash'))
+    )
+    op.create_index(op.f('ix_diagnostic_grant_run_id'), 'diagnostic_grant', ['run_id'], unique=False)
+    op.add_column('user', sa.Column('role', sa.String(), nullable=False, server_default='user'))
+    # ### end Alembic commands ###
+
+
+def downgrade() -> None:
+    """Downgrade schema."""
+    # ### commands auto generated by Alembic - please adjust! ###
+    op.drop_column('user', 'role')
+    op.drop_index(op.f('ix_diagnostic_grant_run_id'), table_name='diagnostic_grant')
+    op.drop_table('diagnostic_grant')
+    # ### end Alembic commands ###