feat(docver): derive docId from fid claim and drop [docId] URL segment

- docId of every docver operation now comes from the Bearer token: the fid
  claim (e-Court fileId) is used directly as docId; segment [docId] removed
  from URLs — POST/GET /api/documents/versions and
  GET /api/documents/versions/{versionId}/download-link
- fid is required and must be a string (trim 1-200): token issuance rejects
  missing/blank/non-string fid with 400, verify rejects fid-less tokens with 401
- parseDocId removed from lib/document-versioning.ts (dead code, no callers)
- openapi spec: paths renamed, docId path params removed, fid required + string
- PLAN-DOCVER.md / CLAUDE.md / wordaddin versioningService comment updated
- tests: fid required/string cases added, parseDocId describe removed (256 pass)

Co-Authored-By: Claude Code <noreply@anthropic.com>

lib/docver-token.ts

@@ -6,8 +6,8 @@
 // - token เซ็นด้วย env DOCVER_TOKEN_SECRET (มือเขียน HS256 ผ่าน node:crypto ล้วน —
 //   ไม่เพิ่ม dependency) แล้วทุก endpoint อื่นของกลุ่มบังคับ Authorization: Bearer —
 //   identity (userid/username) กับ templateId แกะจาก claims ไม่รับจาก payload
-// - claims "fid" = fileId ของ e-Court — ตาราง docver คีย์ด้วย docId (ไม่มีคอลัมน์
-//   fileId ตัวเลข) จึงเก็บเป็น claim ไว้ก่อน ยังไม่มี operation ใดอ่าน/บังคับ
+// - claims "fid" = fileId ของ e-Court (string) — เป็น docId ของทุก operation ตรง ๆ
+//   — บังคับตั้งแต่ขอ token และ verify ไม่รับ token ที่ไม่มี fid
 //
 // ห้าม import อะไรที่ลาก @/db หรือ minio มาด้วย — unit test (tests/lib/) ต้องรันได้
 // โดยไม่ต้องตั้ง DATABASE_URL/MINIO_* (pattern เดียวกับ lib/external-api-auth.ts)
@@ -19,7 +19,7 @@ import { docverError, type DocverError } from "@/lib/document-versioning";
 export type DocverTokenClaims = {
   userid: string;
   username: string;
-  fid: number | null;
+  fid: string;
   template: string | null;
 };
 
@@ -68,7 +68,7 @@ function claimsFromPayload(payload: Record<string, unknown>): DocverTokenClaims
   const { userid, username, fid, template } = payload;
   if (typeof userid !== "string" || userid === "") return null;
   if (typeof username !== "string" || username === "") return null;
-  if (fid !== null && !(typeof fid === "number" && Number.isInteger(fid))) return null;
+  if (typeof fid !== "string" || fid === "") return null;
   if (template !== null && typeof template !== "string") return null;
   return { userid, username, fid, template };
 }
@@ -190,9 +190,13 @@ export function parseTokenRequestBody(raw: unknown):
     return { ok: false, error: "username ยาวเกิน 200 ตัวอักษร" };
   }
 
-  const rawFid = record.fid ?? null;
-  if (rawFid !== null && !(typeof rawFid === "number" && Number.isInteger(rawFid))) {
-    return { ok: false, error: "fid ต้องเป็นตัวเลขจำนวนเต็ม" };
+  const rawFid = record.fid;
+  if (typeof rawFid !== "string" || rawFid.trim() === "") {
+    return { ok: false, error: "ต้องระบุ fid (string)" };
+  }
+  const fid = rawFid.trim();
+  if (fid.length > 200) {
+    return { ok: false, error: "fid ยาวเกิน 200 ตัวอักษร" };
   }
 
   const rawTemplate = record.template ?? null;
@@ -204,5 +208,5 @@ export function parseTokenRequestBody(raw: unknown):
     return { ok: false, error: "template ยาวเกิน 100 ตัวอักษร" };
   }
 
-  return { ok: true, claims: { userid, username, fid: rawFid, template } };
+  return { ok: true, claims: { userid, username, fid, template } };
 }