feat(H5弹窗): AUG26-007 风险换卡与运营弹窗投放通知

新增 000225 迁移：运营弹窗配置表 tb_h5_popup_configuration（页面/范围/优先级/频率/受控动作/启停/有效期/版本）
与 tb_notification 可空 JSONB 列 popup_snapshot。

新增通知直建窄接口 DirectWriter.CreateOrGetPersonal：与 Outbox 消费共用 prepareDelivery 的渲染、
展示期与 CreateIdempotent 规则，冲突时回查返回既有行；同步扩展个人通知查询与已读两处类型白名单，
并按个人客户入口补齐投递审计来源。

新增 H5 候选与风险换卡：GET /api/c/v1/popup-candidates 先判风险资格（广电卡 + 风险停机 +
无活动物流换货单），命中只返回风险候选；未命中再按时间/启停/页面/店铺/设备类型/卡类型范围/频率
匹配运营配置。POST /api/c/v1/risk-exchanges/:asset_id/address 锁资产行后幂等创建待发货物流换货单，
首次地址锁定，不沿用资产级群发通知。

新增后台运营弹窗配置 CRUD 与启停（仅超级管理员与平台账号），更新递增版本并刷新最近更新时间，
标题与正文统一拒绝 URL 与前端路由，全部写操作记录操作者、前后值、版本与时间。

同步 OpenAPI（cmd/gendocs、cmd/api/docs.go、pkg/openapi/handlers.go）与参数校验中文提示共用实现。

migrations/000225_add_h5_popup_configuration.down.sql

@@ -0,0 +1,17 @@
+-- 回滚 H5 运营弹窗配置与弹窗投放快照。
+-- 先删快照约束与快照列，再删配置表与索引，与 up 的创建顺序成对；既有通知列、类别 CHECK 与保留清理不受影响。
+--
+-- 不可逆说明（ENG-MIG-001 例外条件）：本迁移的 down 会删除 tb_notification.popup_snapshot
+-- 与 tb_h5_popup_configuration。恢复方式为重新执行 up 重建结构；被删除的弹窗快照与配置行
+-- 无法由数据库自身重建，只能依据 tb_audit_event 中 h5_popup_configuration 的配置审计前后值与
+-- 已投递通知正文人工复核，因此仅在确认不再需要弹窗投放事实时才执行 down。
+
+ALTER TABLE tb_notification
+    DROP CONSTRAINT IF EXISTS chk_notification_popup_snapshot_object;
+
+ALTER TABLE tb_notification
+    DROP COLUMN IF EXISTS popup_snapshot;
+
+DROP INDEX IF EXISTS idx_h5_popup_configuration_match;
+
+DROP TABLE IF EXISTS tb_h5_popup_configuration;