feat(gateway): 账号只读查询通道——从已登录账号取真实订单

上游要的不只是网关记的任务状态镜像，还有「已登录账号在站点上的真实订单」，
但账号只在 NAT 后本地机上，只能经网关队列走。新增独立查询通道（§11）：

- gateway 单开 account_queries 表 + QueryStatus 状态机，接口
  POST /api/account/queries（幂等）/ lease / {id}/result / {id}
- 不复用下单任务队列：查询是只读，租约过期可安全重投（与下单「绝不自动
  重投」相反），且不该被全局并发度 1 堵死、task_reports 是订单镜像不能污染
- 本地交易服务起第二条常驻循环 query_runner，领到即调 SiteInteractor 真读：
  order_list 复用已实测的 list_recent_orders（规范化字段 + 站点
  orderListData 原文），order_detail 复用 fetch_order_detail（配送阶段 +
  页面 __INITIAL_STATE__ 原样透传，结构未经真实样本，不抽字段）
- 账号级串行仍由 SiteInteractor 的锁保证；每次执行套超时按失败回报
- 错误码 6005/6006（查询通道，可重试只读区别于 6001-6004）；/health 暴露
  queued_query_count；结果体积上限先丢原始 JSON

openapi.json 重导，docs/order-gateway.md §11、README、.env.example 补全
配置与实测边界。全量测试 404→454 通过。

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

app/trading/main.py

@@ -13,7 +13,8 @@
 SiteInteractor 始终启动：HTTP /api/auth/* 与 /api/cart/* 都要靠它持账号 cookie
 做站点交互（加购、校验、清空、删除）。worker 启动条件：RAKUTEN_ORDER_GATEWAY_URL
 非空。留空时不构造 worker 子组件（本地 DB / 证据目录 / 出站客户端都不创建），
-但 SiteInteractor 与 Playwright 仍会启动。
+但 SiteInteractor 与 Playwright 仍会启动。配了网关 URL 时会起**两条**常驻循环：
+下单 worker 与账号只读查询 worker（后者见 docs/order-gateway.md §11）。
 """
 from __future__ import annotations
 
@@ -56,6 +57,7 @@ def build_container() -> TradingContainer:
         from app.trading.worker.client import GatewayClient
         from app.trading.worker.evidence import EvidenceStore
         from app.trading.worker.local_db import LocalDB
+        from app.trading.worker.query_runner import QueryRunner
         from app.trading.worker.runner import WorkerRunner
 
         client = GatewayClient(
@@ -77,6 +79,11 @@ def build_container() -> TradingContainer:
         container.worker_local_db = local_db
         container.worker_evidence = evidence
         container.worker_runner = runner
+        # 只读查询循环与下单 worker 共用同一个网关客户端与 SiteInteractor：
+        # 前者是同一份连接池，后者那把锁正是账号级串行的保证。
+        container.query_runner = QueryRunner(
+            settings=settings, gateway_client=client, site=container.site
+        )
 
     return container
 
@@ -139,6 +146,7 @@ async def lifespan(app: FastAPI):
         logger.info("未开启 RAKUTEN_AUTO_LOGIN_ON_START，启动时不自动登录")
 
     worker_task: asyncio.Task | None = None
+    query_task: asyncio.Task | None = None
     if container.worker_runner is not None:
         # 顺序：本地 DB 在 worker 写证据前先就绪；SiteInteractor 已在外层启动
         assert container.worker_local_db is not None
@@ -152,6 +160,13 @@ async def lifespan(app: FastAPI):
             container.settings.worker_id_effective,
             container.settings.order_gateway_url,
         )
+        # 第二条循环：账号只读查询。独立于下单主循环，否则一笔下单跑几分钟，
+        # 期间上游一句「账号里那笔订单什么状态」就得干等（docs/order-gateway.md §11）。
+        assert container.query_runner is not None
+        query_task = asyncio.create_task(
+            container.query_runner.run(), name="trading-query-worker"
+        )
+        logger.info("账号只读查询 worker 已启动")
     else:
         logger.info(
             "未配置 RAKUTEN_ORDER_GATEWAY_URL，下单 worker 不启动（仅登录态与购物车接口）"
@@ -177,6 +192,15 @@ async def lifespan(app: FastAPI):
             # 付款后监控是独立于主循环的后台任务（见 runner.py::_spawn_monitor），
             # 取消 worker_task 不会连带取消它们，必须在关 SiteInteractor 前单独收尾。
             await container.worker_runner.cancel_monitors()  # type: ignore[union-attr]
+        if query_task is not None:
+            # 与下单 worker 同样：先 stop 再 cancel，正在跑的那次读取直接放弃
+            # （只读，放弃没有副作用；网关侧那张单会超时重投）。
+            container.query_runner.stop()  # type: ignore[union-attr]
+            query_task.cancel()
+            try:
+                await query_task
+            except asyncio.CancelledError:
+                pass
         if container.site is not None:
             await container.site.close()  # type: ignore[union-attr]
         if container.worker_local_db is not None: