feat: strengthen P0 security and operations

README.md

@@ -1,6 +1,6 @@
 # TIKU Backend
 
-TIKU Backend 是题库 SaaS 的 ASP.NET Core 模块化单体，使用 EF Core 管理 PostgreSQL 数据，由同一个 API 进程提供平台端、租户端和学生端接口并处理后台任务。
+TIKU Backend 是题库 SaaS 的 ASP.NET Core 模块化单体，使用 EF Core 管理 PostgreSQL 数据。`Tiku.Api` 提供平台端、租户端和学生端接口，`Tiku.Worker` 独立处理周期任务与 PostgreSQL 后台任务。
 
 ![TIKU Backend 技术架构图](docs/assets/tiku-backend-architecture.svg)
 
@@ -18,7 +18,8 @@ TIKU Backend 是题库 SaaS 的 ASP.NET Core 模块化单体，使用 EF Core
 ## 解决方案结构
 
 ```text
-Tiku.Api              HTTP API、中间件、认证授权、OpenAPI/Scalar 和 Hosted Service
+Tiku.Api              HTTP API、中间件、认证授权和 OpenAPI/Scalar
+Tiku.Worker           域名、订阅、用量校准、导出和安全扫描等后台处理
 Tiku.Application      用例契约、应用服务接口和安全上下文
 Tiku.Domain           领域实体、枚举和值对象
 Tiku.Infrastructure   EF Core、PostgreSQL、认证、后台任务和外部服务实现
@@ -27,7 +28,7 @@ Tiku.UnitTests        单元测试
 Tiku.IntegrationTests API、授权、EF 模型、迁移和真实 PostgreSQL 测试
 ```
 
-依赖方向固定为：`Domain <- Application <- Infrastructure`。`Api` 是唯一运行时组合根，`DbMigrator` 是部署时迁移入口；第三方 SDK、数据库访问和密钥处理只放在 Infrastructure。
+依赖方向固定为：`Domain <- Application <- Infrastructure`。`Api` 与 `Worker` 是彼此独立的运行时组合根，`DbMigrator` 是部署时迁移入口；第三方 SDK、数据库访问和密钥处理只放在 Infrastructure。
 
 ## 快速启动
 
@@ -39,6 +40,7 @@ dotnet restore TIKU-BACKEND.slnx
 dotnet build TIKU-BACKEND.slnx --no-restore
 ASPNETCORE_ENVIRONMENT=Development dotnet run --project Tiku.DbMigrator
 dotnet run --project Tiku.Api
+dotnet run --project Tiku.Worker
 ```
 
 Development 首次迁移会创建平台管理员 `admin@tiku.local`，随机临时密码只在 DbMigrator 首次运行的终端输出。完整步骤见[本地开发与运行](docs/quickstart.md)。
@@ -54,6 +56,8 @@ Development 首次迁移会创建平台管理员 `admin@tiku.local`，随机临
 ## 运行时边界
 
 - API 不自动执行数据库迁移；部署和本地初始化都使用 `Tiku.DbMigrator`。
+- API 不运行后台循环；生产环境必须独立部署至少一个 `Tiku.Worker` 实例。
+- 多 Worker 实例通过 PostgreSQL advisory lock、任务租约和 `FOR UPDATE SKIP LOCKED` 协调。
 - Development 可不配置 Redis；Production 缺少 Redis 时 API 会拒绝启动。
 - 租户由可信 Host 解析；平台 Host 上只有允许的路径可通过 `x-tenant-code` 或 `tenantCode` 指定租户。
 - 租户数据由 EF Query Filter、写入拦截器、租户限定外键/唯一索引和 PostgreSQL guard 共同隔离。