feat(bell): add alert acknowledgement vertical slice

docs/api.md

@@ -1,6 +1,6 @@
 # API 与契约
 
-> Brain → Bell 事件契约 v0.1 与内部 ingress v1、Sense Control API v1、Bell 配额/Area 只读投影 v1、Sense 本地设备审计事件 v1/v2 与 Sense→Bell 审计 relay v1 已冻结；其他 API 仍在设计阶段。不得把本文的“待定”自行具体化为公共契约。
+> Brain → Bell 事件契约 v0.1 与内部 ingress v1、Sense Control API v1、Bell 配额/Area 只读投影 v1、Sense 本地设备审计事件 v1/v2、Sense→Bell 审计 relay v1 与 Bell 回环 Alert 控制台 v1 已冻结；其他 API 仍在设计阶段。不得把工程控制台当成 Bell 公共契约，也不得把本文的“待定”自行具体化。
 
 ## 1. 已冻结：Brain → Bell 事件契约
 
@@ -32,7 +32,7 @@ T-015 已实现 Bell 消费端的内部组装与存储边界；T-019 在 [`contr
 | Sense → Brain | 流绑定与设备型触发 | 分片可路由，触发入口与流控制解耦 | 待 M2/M3 设计 |
 | Worker → 控制面 | 注册、心跳、容量 | `max_sources` 来自 profile/压测，不固定为 16 | 待 M3 设计 |
 
-冻结签名和失败语义见 [`contracts/README.md`](contracts/README.md)、[`contracts/brain-event-ingress-v1.openapi.json`](contracts/brain-event-ingress-v1.openapi.json)、[`contracts/sense-audit-relay-v1.openapi.json`](contracts/sense-audit-relay-v1.openapi.json)、[`contracts/site-quota-v1.sql`](contracts/site-quota-v1.sql)、[`contracts/area-policy-v1.sql`](contracts/area-policy-v1.sql) 与 [`contracts/sense-device-audit-v1.schema.json`](contracts/sense-device-audit-v1.schema.json)。Bell 拥有投影源数据、视图、事件身份绑定与来源收据；未来分库必须发布新版本，不能在 v1 下静默改变一致性或身份语义。
+冻结签名和失败语义见 [`contracts/README.md`](contracts/README.md)、[`contracts/brain-event-ingress-v1.openapi.json`](contracts/brain-event-ingress-v1.openapi.json)、[`contracts/sense-audit-relay-v1.openapi.json`](contracts/sense-audit-relay-v1.openapi.json)、[`contracts/bell-alert-console-v1.openapi.json`](contracts/bell-alert-console-v1.openapi.json)、[`contracts/site-quota-v1.sql`](contracts/site-quota-v1.sql)、[`contracts/area-policy-v1.sql`](contracts/area-policy-v1.sql) 与 [`contracts/sense-device-audit-v1.schema.json`](contracts/sense-device-audit-v1.schema.json)。Bell 拥有投影源数据、视图、事件身份绑定、来源收据、规则版本和 Alert 历史；未来分库必须发布新版本，不能在 v1 下静默改变一致性或身份语义。
 
 ## 3. 已冻结：Sense Control API v1
 
@@ -50,7 +50,18 @@ T-015 已实现 Bell 消费端的内部组装与存储边界；T-019 在 [`contr
 
 T-008 冻结公共控制契约；T-009/T-010 建立 PostgreSQL 投影、准入和本地审计基础；T-011 已实现 7 个 HTTP handler、外部静态摘要认证适配器、tenant/Site scope、幂等收据、ETag/HMAC cursor 和持久化 batch operation。业务路由默认关闭且仅可在 PostgreSQL 上开启；T-016 的审计 relay 是独立内部端点，不替代 Bell 管理服务或 JWT/OIDC。
 
-## 4. 待冻结的 Bell 公共 API
+## 4. 已冻结：Bell 回环 Alert 控制台 v1
+
+- OpenAPI：[`contracts/bell-alert-console-v1.openapi.json`](contracts/bell-alert-console-v1.openapi.json)
+- 路由前缀：`/bell-console/api/v1`；仅在整个 Bell 服务显式回环监听且两个 Alert feature flag 开启时注册。
+- 范围：Alert 按状态稳定分页、Alert/Event/规则版本/transition 详情、首次 ack 和确认后 close。列表默认 16、最大 100。
+- tenant、Site 与 actor 只取启动时的仓库外上下文；Bearer token 只从仓库外文件加载并仅驻留页面内存。写命令要求 8～128 字符 `Idempotency-Key`。
+- 首次 ack 获胜；后到者返回 `409 already_acknowledged` 和实际 actor/time。同 key/同命令重放原 status/body，同 key/不同命令返回 `409 idempotency_conflict`。
+- API 不返回 Event 原始 payload、流 URI、凭据、DSN 或 token；当前明确返回证据和投递均 `not_enabled`。
+
+该 API 用于本地工程/售前联调，不冻结正式客户 URL、JWT/OIDC/RBAC、前端框架或非回环部署。正式公共 API 不得无版本迁移地复用工程 token/上下文模式。
+
+## 5. 待冻结的 Bell 公共 API
 
 资源范围预计包括：租户、站点、设备只读投影、规则、事件、预警、ack、处置、误报反馈、审计和报表。设计时必须满足：
 
@@ -61,11 +72,11 @@ T-008 冻结公共控制契约；T-009/T-010 建立 PostgreSQL 投影、准入
 - 错误体包含稳定错误码、可读消息和 trace ID，不返回内部堆栈或凭据。
 - 人脸功能未授权时表现为能力不存在，而非仅按钮置灰。
 
-## 5. MediaMTX 接口边界
+## 6. MediaMTX 接口边界
 
 Sense 使用 MediaMTX 官方 OpenAPI 生成客户端并加薄封装。业务代码不得散落硬编码 path API；生成代码不可手改。MediaMTX path 不是租户/站点/设备的业务真相源。
 
-### 5.1 T-003 已实现的内部适配契约
+### 6.1 T-003 已实现的内部适配契约
 
 以下是 Sense 内部 Go port，不是 Bell 或第三方可依赖的公共 HTTP API：
 
@@ -77,20 +88,20 @@ Sense 使用 MediaMTX 官方 OpenAPI 生成客户端并加薄封装。业务代
 
 MediaMTX 薄封装调用同版官方 OpenAPI 的 `/v3/config/paths/get|add|patch|delete/{name}`、`/v3/config/paths/list` 与 `/v3/paths/get/{name}`。列表有最大页数和重复页保护，source URI 在薄封装内丢弃。生成源、版本和 SHA-256 见 `docs/03-tech-stack.md`；业务包不得直接 import 生成包。
 
-### 5.2 设备台账语义
+### 6.2 设备台账语义
 
 - 设备类型由 `modality` 表达物理类别，由多值 `capabilities` 表达视频采集、音频、空间规则或遥测能力，避免把“摄像头”固化为唯一设备模型。
 - 视频配额只统计 `desired_state=enabled` 且具有 `video_capture` capability 的设备；站点默认 16、可配置 1～128。禁用设备和非视频传感器不占视频路数。
 - SQLite 表使用 `sense_` 前缀且只是 M1 实验室兼容路径；PostgreSQL 使用 `sense.devices`、能力/调和表、两个投影观察表和 `sense.device_operation_outbox`。PostgreSQL 不建立可写 Site/Area 真相副本；后续公共控制 API 只在 PostgreSQL 路径启用，不能把 SQLite 描述为 Area/Outbox 生产等价实现。
 - 摄像头密码不进入设备普通字段。`credential_ref` 只保存外部密钥引用；ONVIF 返回的 stream URI 只在内存中传给 MediaMTX，不写入设备台账或日志。
 
-### 5.3 Sense 进程 HTTP 面
+### 6.3 Sense 进程 HTTP 面
 
 `GET /healthz` 表示进程存活，`GET /readyz` 表示所选数据库已打开且 schema/权限前置检查完成；两者不要求认证，也不等价于摄像头、MediaMTX path 或里程碑健康。`GET /metrics` 默认输出无租户/设备/Path 标签的 Prometheus 汇总，可通过 `SENSE_METRICS_ENABLED=false` 关闭。T-011 在 `SENSE_CONTROL_API_ENABLED=true`、PostgreSQL v5 schema 和外部安全文件全部有效时注册冻结的 `/api/v1` 路由；默认 SQLite 不注册业务路由。业务路由不提供无 Site 边界的 `/api/v1/devices` 临时接口。
 
 孤儿报告/处置不是公共 HTTP API。它由 PostgreSQL 专用 `cmd/sense-orphan` 在受控运维主机执行，使用 15 分钟 scan ID、actor、精确确认文本和运行前二次快照；不改变 Sense Control API v1 的 7 个 endpoint。
 
-## 6. 变更流程
+## 7. 变更流程
 
 1. 在对应任务文件写清调用方、提供方、数据所有者、失败语义、幂等与兼容策略。
 2. 更新本文和 schema/OpenAPI。