feat(m6): 额度流水、套餐开通、数据删除、运营后台（M6 剩下的 P0）

决策 M6-1–M6-10（docs/architecture/m6-plan.md、docs/decisions.md）。

用户端：
- 额度与套餐页：本期额度、按功能分布、扣点规则、流水（逐条余额、关联项目和任务、导出 CSV）
- 开通 / 续费申请（对公转账，运营确认到账后开通），80% / 100% 提醒
- 专业版到期：整个账号只读、额度清零，到期前 30 / 7 / 0 天提醒（worker 每小时 billing_tick）
- 删除项目（彻底删除、销毁数据密钥），注销账号（企业名称 + 短信验证码）
- 通知铃铛、账号页

运营后台：
- 独立进程 bid-doctor ops（/ops/v1）和 apps/admin；用户名 + 密码 + TOTP + IP 白名单
- 开通申请（到账 / 开通 / 退回 / 发票）、企业查询和调额度、误报 / 漏报、失败任务、审计；不看业务内容
- 左侧菜单（标准 logo、可展开收起的分组、图标、待办数、环境标签）
- 运营人员角色只留结构：ops_admin.role、权限点、每个接口的检查点、菜单按权限过滤

数据库：迁移 0010（排队的订阅、申请单号、通知类型、billing_due）、0011（bd_ops 权限）、0012（运营角色）。
另修：取消解析 / 检查接口报 500；uuid7 进程内单调；data_key 销毁后不再新建；审计 None 存 SQL NULL。

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

deploy/compose/compose.yaml

@@ -12,6 +12,7 @@ services:
       POSTGRES_PASSWORD: ${BD_PG_OWNER_PASSWORD:-dev-owner}
       POSTGRES_DB: bid_doctor
       BD_APP_PASSWORD: ${BD_PG_APP_PASSWORD:-dev-app}
+      BD_OPS_PASSWORD: ${BD_PG_OPS_PASSWORD:-dev-ops}
     ports: ["127.0.0.1:${BD_PG_PORT:-54329}:5432"]
     volumes:
       - pgdata:/var/lib/postgresql/data
@@ -68,6 +69,21 @@ services:
       migrate: { condition: service_completed_successfully }
       valkey: { condition: service_healthy }
 
+  # 运营后台接口（决策 M6-2）：同一镜像的第三种进程，只绑本机回环；IP 白名单放行本机经 Docker 网桥进来的请求
+  ops:
+    profiles: [app]
+    image: bid-doctor-server
+    command: ["bid-doctor", "ops", "--host", "0.0.0.0", "--port", "8000"]
+    env_file: [{ path: ../../.env, required: false }]
+    environment:
+      <<: *app-env
+      BD_OPS_DATABASE_URL: postgresql+psycopg://bd_ops:${BD_PG_OPS_PASSWORD:-dev-ops}@postgres:5432/bid_doctor
+      BD_OPS_ALLOWED_IPS: '["127.0.0.1/32", "172.16.0.0/12"]'
+    ports: ["127.0.0.1:${BD_OPS_PORT:-8019}:8000"]
+    depends_on:
+      migrate: { condition: service_completed_successfully }
+      valkey: { condition: service_healthy }
+
   worker:
     profiles: [app]
     image: bid-doctor-server

deploy/compose/postgres/init-roles.sh

@@ -1,9 +1,11 @@
 #!/bin/sh
 # 数据库角色（data-model §2.4）：bd_owner 建表和迁移；bd_app 给 api / worker，受行级安全策略约束；
-# bd_auth 不登录，只拥有登录前查会话的两个函数。只在数据卷第一次初始化时执行。
+# bd_auth 不登录，只拥有登录前查会话的两个函数；bd_ops 给运营后台的跨企业查询（决策 M6-2）。
+# 只在数据卷第一次初始化时执行；已有的数据卷要手工补建 bd_ops（见 docs/architecture/m6-plan.md）。
 set -eu
 psql -v ON_ERROR_STOP=1 --username "$POSTGRES_USER" --dbname "$POSTGRES_DB" <<SQL
 CREATE ROLE bd_app LOGIN PASSWORD '${BD_APP_PASSWORD}';
 CREATE ROLE bd_auth NOLOGIN BYPASSRLS;
-GRANT CONNECT ON DATABASE ${POSTGRES_DB} TO bd_app;
+CREATE ROLE bd_ops LOGIN BYPASSRLS PASSWORD '${BD_OPS_PASSWORD}';
+GRANT CONNECT ON DATABASE ${POSTGRES_DB} TO bd_app, bd_ops;
 SQL