feat(documents): renderização real de PDF via Chromium headless

Substitui a geração de PDF simulada (pdf_s3_key/pdf_sha256/pdf_size_bytes
sempre nulos) por Chromium real (Playwright), portado do
chromiumPdfRenderer.js do legado: SSRF impossível por construção
(setContent + bloqueio de toda requisição de rede da página), browser
único reaproveitado com relançamento automático, semáforo de
concorrência + timeout duro.

Infra: MinIO (compose.yaml, primeiro consumidor real do adapter S3) e
instalação condicional do Chromium só na imagem da API
(Dockerfile.node). DocumentsService.createGeneration agora renderiza,
faz upload e persiste hash/tamanho de verdade; novo endpoint de
download GET /v1/documents/generations/:id/pdf.

Verificado ao vivo através do container real: PDF gerado, baixado, e
SHA-256 conferido byte a byte contra o valor persistido no Postgres.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01BcWWuKfykGtUweXmHD6cKx

compose.yaml

@@ -34,6 +34,52 @@ services:
       retries: 10
     networks: [eden_net]
 
+  # S3-compatible object storage (packages/integrations/src/s3/client.ts) —
+  # entra agora porque a geração de PDF (Documents/Quotes) é o primeiro
+  # consumidor real de storage de objeto (mesma regra do Redis acima:
+  # container próprio só quando o primeiro uso real precisar dele). Imagem
+  # oficial `minio/minio` (a variante Bitnami parou de publicar tag
+  # `latest` gratuita) — sem criação automática de bucket, por isso o
+  # serviço `eden-minio-init` abaixo faz isso uma vez via `mc mb`.
+  eden-minio:
+    image: minio/minio:latest
+    container_name: eden-minio
+    restart: unless-stopped
+    command: server /data --console-address ":9001"
+    environment:
+      MINIO_ROOT_USER: ${S3_ACCESS_KEY_ID:?defina S3_ACCESS_KEY_ID no .env}
+      MINIO_ROOT_PASSWORD: ${S3_SECRET_ACCESS_KEY:?defina S3_SECRET_ACCESS_KEY no .env}
+    volumes:
+      - eden_minio_data:/data
+    # Console (9001) mapeado ao host só para inspeção manual em
+    # desenvolvimento — mesmo racional do EDEN_POSTGRES_DEV_PORT acima.
+    # Remover em produção.
+    ports:
+      - "9000:9000"
+      - "9001:9001"
+    healthcheck:
+      test: ["CMD-SHELL", "curl -sf http://127.0.0.1:9000/minio/health/live || exit 1"]
+      interval: 5s
+      timeout: 5s
+      retries: 10
+    networks: [eden_net]
+
+  # One-shot: garante que o bucket usado por S3_BUCKET existe. Roda e sai
+  # (`restart: "no"`) — eden-api só sobe depois dele terminar com sucesso.
+  eden-minio-init:
+    image: minio/mc:latest
+    container_name: eden-minio-init
+    restart: "no"
+    depends_on:
+      eden-minio:
+        condition: service_healthy
+    entrypoint: >
+      sh -c "
+      mc alias set local http://eden-minio:9000 ${S3_ACCESS_KEY_ID} ${S3_SECRET_ACCESS_KEY} &&
+      mc mb --ignore-existing local/${S3_BUCKET:-eden}
+      "
+    networks: [eden_net]
+
   eden-api:
     build:
       context: .
@@ -63,11 +109,15 @@ services:
       S3_SECRET_ACCESS_KEY: ${S3_SECRET_ACCESS_KEY}
       S3_BUCKET: ${S3_BUCKET}
       PUBLIC_BASE_URL: ${PUBLIC_BASE_URL}
+      PDF_MAX_CONCURRENCY: ${PDF_MAX_CONCURRENCY:-3}
+      PDF_RENDER_TIMEOUT_SECONDS: ${PDF_RENDER_TIMEOUT_SECONDS:-15}
     ports:
       - "${EDEN_API_PORT:-8080}:${EDEN_API_PORT:-8080}"
     depends_on:
       eden-postgres:
         condition: service_healthy
+      eden-minio-init:
+        condition: service_completed_successfully
     healthcheck:
       test: ["CMD-SHELL", "node -e \"fetch('http://localhost:'+ (process.env.EDEN_API_PORT||8080) +'/health/live').then(r=>process.exit(r.ok?0:1)).catch(()=>process.exit(1))\""]
       interval: 10s
@@ -174,3 +224,4 @@ networks:
 
 volumes:
   eden_pgdata:
+  eden_minio_data: