feat: add catalog readonly endpoints

README.md

@@ -241,13 +241,11 @@ dotnet ef migrations script \
 4. 业务流程放到 `Tiku.Application`，EF/外部服务实现放到 `Tiku.Infrastructure`。
 5. 已登录业务接口默认从 `ICurrentTenant` / `ICurrentUser` 取上下文，不直接信任 body 里的 `tenantId`。
 6. 公开接口只返回 branding、feature flags、public config 等可暴露字段，不泄露 secret/refund/payment/internal metadata。
-7. 每迁一个小闭环就补集成测试和 Scalar/OpenAPI 描述，关键 request / response schema 要有字段 description 断言，测试通过后单独提交。
+7. 每迁一个小闭环就补业务集成测试；OpenAPI 做轻量 smoke，字段注释靠迁移时同步维护，不做逐字段断言。
 
 建议下一批迁移顺序：
 
 ```text
-Catalog 基础只读 API
-  -> 地区 / 模块 / 学校 / 专业 / 科目 / 分类
 Content Navigation 只读 API
   -> 内容入口 / 内容树 / 题集 / 练习蓝图
 Question Bank 只读 API
@@ -260,5 +258,6 @@ Question Bank 只读 API
 - migration 已整理为单个初始建库 migration。
 - API 安全底座已建立：JWT、Session、本地登录、当前用户、当前租户、基础授权策略。
 - 租户公开入口已建立：tenant resolve、public config、health。
-- 当前模型测试、认证服务测试、API 认证/租户闭环测试通过。
+- Catalog 基础只读 API 已建立：地区、地区模块、模块节点、院校、专业、科目、题目分类。
+- 当前模型测试、认证服务测试、API 认证/租户闭环测试、Catalog 只读测试通过。
 - 下一步重点是继续把题库、内容、导入、订单等业务 API 接入这套安全轨道，而不是重新散写权限判断。