docs(GOV-010): 完善安全性能与架构规范

docs/architecture/system-architecture.md

@@ -7,7 +7,9 @@
 ```text
 web/        Vue 3 前端
 server/     NestJS API、Scheduler 与 Worker
-contracts/  HTTP 与 RocketMQ 版本化契约
+server/openapi/                 HTTP OpenAPI 产物
+server/libs/http-contracts/     后端 HTTP DTO
+server/libs/message-contracts/  后端 RocketMQ 版本化契约
 deploy/     MySQL、Redis、RocketMQ 5.x 和运行配置
 docs/       规范、架构、ADR 与功能档案
 tools/      可重复执行的治理和开发工具
@@ -38,7 +40,25 @@ tools/      可重复执行的治理和开发工具
 - Redis保存最新快照、缓存、锁和限流状态。
 - Vue前端只读后端 API，不直接接触外部数据源和密钥。
 
-## 3. 数据库技术基线
+## 3. 前后端模块边界
+
+后端以业务模块为一级目录，模块内部按实际职责建立 Controller、Service、DTO、Domain、Repository 和 Adapter。小模块不强制凑齐目录，禁止把全部 Controller/Service 堆入全局目录，也禁止无业务逻辑的透传层。领域规则只依赖项目端口，MySQL、Redis、RocketMQ、免费数据源和 AI Provider 由基础设施 Adapter 实现。
+
+前端 HTTP 数据流固定为：
+
+```text
+NestJS DTO 与 Swagger 元数据
+  → server/openapi/openapi.json
+  → openapi-typescript 生成 web/src/api/generated/schema.ts
+  → web/src/api/<业务域>/index.ts
+  → web/src/utils/request.ts（Axios）
+  → 功能 adapter / ViewModel
+  → 页面、组件和 Store
+```
+
+OpenAPI 负责描述本项目 HTTP 契约，Axios 负责浏览器实际请求。页面、组件、Store 和 Composable 不直接发 HTTP。兼容 OpenAI API 指未来后端 AI Provider 的外部协议，与前端请求库无关。
+
+## 4. 数据库技术基线
 
 - 数据库服务端固定使用 MySQL 5.7.42；开发、测试和生产环境禁止使用其他补丁版本或 MySQL 8.x 代替兼容性验证。
 - 数据库与表默认字符集固定为 `utf8mb4`，排序规则固定为 `utf8mb4_general_ci`。
@@ -46,11 +66,11 @@ tools/      可重复执行的治理和开发工具
 - 正式启用持久化前，必须在真实 MySQL 5.7 环境验证服务端版本、Schema/表排序规则、迁移和关键查询。
 - 第一阶段市场概览只定义 MySQL Repository 接口并使用内存实现，不启动数据库、不建立生产连接；后续启用时不得改变前端 API 和核心分析契约。
 
-## 4. 当前实施顺序
+## 5. 当前实施顺序
 
 第一阶段先实现可交互的市场综合概览和稳定数据契约，再接入正式行情采集链路。用户、邀请、权限、会员和支付后置，不进入当前核心架构。
 
-## 5. 环境与部署基线
+## 6. 环境与部署基线
 
 - 应用运行环境只定义 `development` 与 `production`；生产环境禁止模拟数据、热更新、调试端口和开发默认值回退。
 - API、Scheduler、Worker、Web 分别拥有开发和生产模板；同一进程跨环境使用相同变量名，通过启动 Schema 校验条件必填项。