feat(r0.10): apps/api — auth fermée par défaut, matrice en base, démo-login ADR-002, seed

- packages/shared : rôles/catégories, schémas Zod, contrat d'API ;
  pnpm contract → docs/openapi.json committée (règle d'or ADR-001)
- apps/api : NestJS 11 + Prisma 6, migration r0_identity (Role/Permission/User) ;
  guard JWT global + @Public() ; PermissionsGuard (@RequirePermission,
  matrice relue en base, cache 60 s) ; FileStorage (seul import MinIO) ; /health
- démo-login ADR-002 : module conditionnel DEMO_MODE (404 sinon, testé e2e),
  double verrou production, refus des comptes isDemo=false
- seed idempotent : 7 rôles, matrice complète (70 lignes), 7 comptes démo
- 19 tests Jest (unit + e2e) ; smoke test sur build de prod

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

apps/api/src/files/file-storage.ts

@@ -0,0 +1,12 @@
+/**
+ * Interface de stockage de fichiers (ADR-001) : MinIO n'est JAMAIS importé
+ * ailleurs que dans son implémentation — le reste de l'API dépend de cette
+ * interface (règle lint à venir en R0.12). R0 : santé seulement ;
+ * les opérations arrivent avec les photos/documents (R2-R3).
+ */
+export const FILE_STORAGE = Symbol('FILE_STORAGE');
+
+export interface FileStorage {
+  /** Lève une exception si le stockage est injoignable. */
+  healthCheck(): Promise<void>;
+}

apps/api/src/files/files.module.ts

@@ -0,0 +1,10 @@
+import { Global, Module } from '@nestjs/common';
+import { FILE_STORAGE } from './file-storage';
+import { MinioStorageService } from './minio-storage.service';
+
+@Global()
+@Module({
+  providers: [{ provide: FILE_STORAGE, useClass: MinioStorageService }],
+  exports: [FILE_STORAGE],
+})
+export class FilesModule {}

apps/api/src/files/minio-storage.service.ts

@@ -0,0 +1,25 @@
+import { Injectable } from '@nestjs/common';
+import * as Minio from 'minio';
+import { loadEnv } from '../config/env';
+import type { FileStorage } from './file-storage';
+
+/** Seul fichier du dépôt autorisé à importer le SDK MinIO. */
+@Injectable()
+export class MinioStorageService implements FileStorage {
+  private readonly client: Minio.Client;
+
+  constructor() {
+    const env = loadEnv();
+    this.client = new Minio.Client({
+      endPoint: env.MINIO_ENDPOINT,
+      port: env.MINIO_PORT,
+      useSSL: env.MINIO_USE_SSL === 'true',
+      accessKey: env.MINIO_ACCESS_KEY,
+      secretKey: env.MINIO_SECRET_KEY,
+    });
+  }
+
+  async healthCheck(): Promise<void> {
+    await this.client.listBuckets();
+  }
+}