feat(docver): derive docId from fid claim and drop [docId] URL segment

- docId of every docver operation now comes from the Bearer token: the fid
  claim (e-Court fileId) is used directly as docId; segment [docId] removed
  from URLs — POST/GET /api/documents/versions and
  GET /api/documents/versions/{versionId}/download-link
- fid is required and must be a string (trim 1-200): token issuance rejects
  missing/blank/non-string fid with 400, verify rejects fid-less tokens with 401
- parseDocId removed from lib/document-versioning.ts (dead code, no callers)
- openapi spec: paths renamed, docId path params removed, fid required + string
- PLAN-DOCVER.md / CLAUDE.md / wordaddin versioningService comment updated
- tests: fid required/string cases added, parseDocId describe removed (256 pass)

Co-Authored-By: Claude Code <noreply@anthropic.com>

app/api/documents/versions/[versionId]/download-link/route.ts

@@ -1,10 +1,9 @@
-// PLAN-DOCVER.md §1 — GET /api/documents/{docId}/versions/{versionId}/download-link?format=docx|pdf
+// PLAN-DOCVER.md §1 — GET /api/documents/versions/{versionId}/download-link?format=docx|pdf
 // คืน presigned URL อายุสั้น (env DOCVER_LINK_TTL_SECONDS) ให้ UI เปิดในเบราว์เซอร์จริง
-// ของผู้ใช้ — เช็คทั้ง docId และ versionId พร้อมกันกันโยน id ข้ามเอกสาร
+// ของผู้ใช้ — เช็ค docId (จาก fid ใน token) กับ versionId คู่กันกันโยน id ข้ามเอกสาร
 // auth: Authorization: Bearer (access_token จาก POST /api/documents/token — ทุก endpoint ของกลุ่ม)
 import {
   docverError,
-  parseDocId,
   parseDownloadFormat,
   parseVersionIdParam,
 } from "@/lib/document-versioning";
@@ -16,13 +15,13 @@ export const dynamic = "force-dynamic";
 
 export async function GET(
   request: Request,
-  { params }: { params: { docId: string; versionId: string } },
+  { params }: { params: { versionId: string } },
 ) {
   const auth = requireDocverBearer(request);
   if (!auth.ok) return auth.response;
 
-  const docId = parseDocId(params.docId);
-  if (!docId.ok) return docverError(docId.error, 400);
+  // docId มาจาก fid ใน token — claim ถูกบังคับเป็น string ไม่ว่างตั้งแต่ขอ token + verify
+  const docId = auth.claims.fid;
   const versionId = parseVersionIdParam(params.versionId);
   if (!versionId.ok) return docverError(versionId.error, 400);
   let format: string | null = null;
@@ -35,7 +34,7 @@ export async function GET(
   if (!parsedFormat.ok) return docverError(parsedFormat.error, 400);
 
   try {
-    const row = await findVersionForDoc(docId.docId, versionId.versionId);
+    const row = await findVersionForDoc(docId, versionId.versionId);
     if (!row) {
       return docverError("ไม่พบ version นี้ของเอกสาร", 404);
     }

app/api/documents/versions/route.ts

@@ -1,8 +1,9 @@
-// PLAN-DOCVER.md §1 — POST อัปโหลด version ใหม่ + GET history ของ /api/documents/{docId}/versions
+// PLAN-DOCVER.md §1 — POST อัปโหลด version ใหม่ + GET history ของ /api/documents/versions
 // กลุ่ม API stand-alone ไม่มี session — auth ด้วย access_token ของกลุ่มนี้: ขอที่
 // POST /api/documents/token (ยืนยัน x-api-key กับ env DOCVER_API_KEY) แล้วแนบ
-// Authorization: Bearer ทุก request — identity (userid/username) และ templateId
-// แกะจาก claims ของ token ไม่รับจาก multipart form อีก (lib/docver-token.ts)
+// Authorization: Bearer ทุก request — identity (userid/username), templateId และ
+// docId (= fid — fileId ของ e-Court, string) แกะจาก claims ของ token ทั้งหมด
+// ไม่รับจาก URL/form อีก (lib/docver-token.ts)
 import { createHash, randomUUID } from "node:crypto";
 
 import { toDocumentVersionDTO } from "@/db/schema";
@@ -12,7 +13,6 @@ import {
   DOCX_CONTENT_TYPE,
   isDocxBytes,
   isPdfBytes,
-  parseDocId,
   parseVersionUploadForm,
   sanitizeFilePartName,
 } from "@/lib/document-versioning";
@@ -34,12 +34,12 @@ export const dynamic = "force-dynamic";
  *  putObject MinIO → insert DB (tx) — DB ล้ม = เก็บกวาด object (pattern N4)
  *  response = UploadVersionResult เป๊ะ โดย versionNumber เป็นค่า authoritative
  *  จาก server (client เดา latest+1 แล้วแก้เองเมื่ออัปโหลดชนกัน) */
-export async function POST(request: Request, { params }: { params: { docId: string } }) {
+export async function POST(request: Request) {
   const auth = requireDocverBearer(request);
   if (!auth.ok) return auth.response;
 
-  const docId = parseDocId(params.docId);
-  if (!docId.ok) return docverError(docId.error, 400);
+  // docId มาจาก fid ใน token — claim ถูกบังคับเป็น string ไม่ว่างตั้งแต่ขอ token + verify
+  const docId = auth.claims.fid;
 
   let form: FormData;
   try {
@@ -115,7 +115,7 @@ export async function POST(request: Request, { params }: { params: { docId: stri
   try {
     row = await insertVersionRecord({
       versionId,
-      docId: docId.docId,
+      docId,
       clientVersionId: parsed.form.clientVersionId,
       contentHash,
       message: parsed.form.message,
@@ -148,15 +148,14 @@ export async function POST(request: Request, { params }: { params: { docId: stri
 
 /** GET — history ของเอกสาร (ใหม่ → เก่า) · docId ที่ยังไม่เคยมี version = 404
  *  (สัญญาณ REST ตรง ๆ แบบ N10 — UI ฝั่ง add-in แสดง error + ปุ่มลองใหม่ ไม่พัง) */
-export async function GET(request: Request, { params }: { params: { docId: string } }) {
+export async function GET(request: Request) {
   const auth = requireDocverBearer(request);
   if (!auth.ok) return auth.response;
 
-  const docId = parseDocId(params.docId);
-  if (!docId.ok) return docverError(docId.error, 400);
+  const docId = auth.claims.fid;
 
   try {
-    const doc = await findDocumentByDocId(docId.docId);
+    const doc = await findDocumentByDocId(docId);
     if (!doc) {
       return docverError("ไม่พบเอกสารนี้ในระบบ (ยังไม่เคยอัปโหลด version)", 404);
     }