Merge branch 'forgejo-dev' into working

Resolve CLAUDE.md: คำอธิบาย lib/document-versioning.ts เอาของ
forgejo-dev (field `fields` ถอดออก 2026-10-30) ส่วน lib/docver-token.ts
เอาของ working (purpose login / verifyDocverLoginToken — โค้ดฝั่ง
forgejo-dev มีครบแล้ว แค่คำอธิบายล้าหลัง)

Verify: npx tsc --noEmit ผ่าน · vitest 23 files / 338 tests ผ่าน

Co-Authored-By: Claude Code <noreply@anthropic.com>

lib/docver-token.ts

@@ -186,6 +186,32 @@ export function requireDocverApiKey(request: Request): Response | null {
     : docverError("API key ไม่ถูกต้อง", 401);
 }
 
+/** auth ของ GET /api/documents/latest — x-api-key เทียบ env DOCVER_API_KEY
+ *  หรือ EXTERNAL_API_KEY (ตัวใดตัวหนึ่งตรง = ผ่าน — ผู้เรียกเป็น backend e-Court
+ *  ที่ถือ key สาย N10 หรือสาย docver ก็ได้ ต่างจาก /token ที่รับ DOCVER_API_KEY
+ *  อย่างเดียว) · ทั้งคู่ไม่ตั้ง/ว่าง = 401 fail closed · ข้อความ 401 ของ "ไม่ใส่
+ *  key" กับ "key ผิด" เป็นอันเดียวกันเหมือน requireDocverApiKey
+ *  คืน null เมื่อผ่าน / Response 401 เมื่อไม่ผ่าน */
+export function requireDocumentApiKey(request: Request): Response | null {
+  // เทียบกับค่า trim แล้ว — กัน trailing newline จาก K8s secret / docker env_file
+  const envKeys = [process.env.DOCVER_API_KEY, process.env.EXTERNAL_API_KEY]
+    .map((value) => value?.trim())
+    .filter((value): value is string => value !== undefined && value !== "");
+  if (envKeys.length === 0) {
+    return docverError("ระบบยังไม่ได้ตั้งค่า API key", 401);
+  }
+  const provided = request.headers.get("x-api-key");
+  if (provided === null || provided === "") {
+    return docverError("API key ไม่ถูกต้อง", 401);
+  }
+  const providedHash = createHash("sha256").update(provided).digest();
+  const matched = envKeys.some((envKey) => {
+    const envHash = createHash("sha256").update(envKey).digest();
+    return timingSafeEqual(providedHash, envHash);
+  });
+  return matched ? null : docverError("API key ไม่ถูกต้อง", 401);
+}
+
 /** 401 เดียวสำหรับทุกกรณี — ไม่แยกสาเหตุ (ไม่มี header / รูปผิด / signature ผิด /
  *  หมดอายุ / secret ไม่ตั้ง) กันใช้ endpoint เป็น oracle สำรวจ */
 const BEARER_DENIED = "โทเคนไม่ถูกต้องหรือหมดอายุ";