feat: add GET /api/documents/latest returning latest version file with stamped ticket

Server-to-server endpoint for the e-Court backend (x-api-key against
DOCVER_API_KEY or EXTERNAL_API_KEY):
- type=pdf returns the latest version's PDF bytes (404 when absent)
- type=docx stamps fresh ticket custom properties (exp + HmacSha256 via
  addinTicketSecret(), Ed25519 when PRIVATE_KEY_HEX is set) into an
  in-memory copy before returning — MinIO object is never modified
- docId comes from fid inside the ticket_data query param, which must
  include fid/uid/uname so the stamped file stays redeemable by the
  add-in at /api/documents/token (buildStampedTicketData drops null
  values because parseDocverTicket rejects tid:null)
- adds parseTicketDataParam, parseLatestTypeParam, requireDocumentApiKey,
  findLatestVersionForDoc, getVersionObjectBytes + unit tests (320 pass)
- syncs PLAN-DOCVER.md, OpenAPI spec and .env.example

Co-Authored-By: Claude Code <noreply@anthropic.com>

lib/docver-token.ts

@@ -138,6 +138,32 @@ export function requireDocverApiKey(request: Request): Response | null {
     : docverError("API key ไม่ถูกต้อง", 401);
 }
 
+/** auth ของ GET /api/documents/latest — x-api-key เทียบ env DOCVER_API_KEY
+ *  หรือ EXTERNAL_API_KEY (ตัวใดตัวหนึ่งตรง = ผ่าน — ผู้เรียกเป็น backend e-Court
+ *  ที่ถือ key สาย N10 หรือสาย docver ก็ได้ ต่างจาก /token ที่รับ DOCVER_API_KEY
+ *  อย่างเดียว) · ทั้งคู่ไม่ตั้ง/ว่าง = 401 fail closed · ข้อความ 401 ของ "ไม่ใส่
+ *  key" กับ "key ผิด" เป็นอันเดียวกันเหมือน requireDocverApiKey
+ *  คืน null เมื่อผ่าน / Response 401 เมื่อไม่ผ่าน */
+export function requireDocumentApiKey(request: Request): Response | null {
+  // เทียบกับค่า trim แล้ว — กัน trailing newline จาก K8s secret / docker env_file
+  const envKeys = [process.env.DOCVER_API_KEY, process.env.EXTERNAL_API_KEY]
+    .map((value) => value?.trim())
+    .filter((value): value is string => value !== undefined && value !== "");
+  if (envKeys.length === 0) {
+    return docverError("ระบบยังไม่ได้ตั้งค่า API key", 401);
+  }
+  const provided = request.headers.get("x-api-key");
+  if (provided === null || provided === "") {
+    return docverError("API key ไม่ถูกต้อง", 401);
+  }
+  const providedHash = createHash("sha256").update(provided).digest();
+  const matched = envKeys.some((envKey) => {
+    const envHash = createHash("sha256").update(envKey).digest();
+    return timingSafeEqual(providedHash, envHash);
+  });
+  return matched ? null : docverError("API key ไม่ถูกต้อง", 401);
+}
+
 /** 401 เดียวสำหรับทุกกรณี — ไม่แยกสาเหตุ (ไม่มี header / รูปผิด / signature ผิด /
  *  หมดอายุ / secret ไม่ตั้ง) กันใช้ endpoint เป็น oracle สำรวจ */
 const BEARER_DENIED = "โทเคนไม่ถูกต้องหรือหมดอายุ";