infra: 自动定时任务 — cron 服务

新增:
  - scripts/cron_entrypoint.py: 纯 Python 调度器, 零依赖
    任务1: 每天 03:00 跑 archive_old_tasks.py --apply
    任务2: 每周一 03:10 VACUUM ANALYZE (维护表统计信息)
  - docker-compose.yml: 加 cron 服务 (共享 meshsafe:latest 镜像)

归档策略 (archive_old_tasks.py):
  - scan_tasks  90天前: 清 detail JSONB (省空间)
  - scan_tasks  365天前: 移到 scan_tasks_archive
  - idempotency_records:  清 7 天前 (幂等 TTL)
  - policy_versions:      只留最新 5 个

启动: docker compose up -d cron
日志: docker compose logs -f cron
docker compose up 会自动拉起 (restart: unless-stopped)

docker-compose.yml

@@ -133,6 +133,29 @@ services:
       start_period: 15s
       retries: 3
 
+  # ---------- Cron (定时任务: DB 归档 + VACUUM) ----------
+  # 纯 Python 实现, 零额外依赖, 和 api 共享 meshsafe:latest 镜像
+  # 任务:
+  #   每天 03:00  archive_old_tasks.py --apply (清 90 天 detail / 365 天归档 / 幂等 TTL)
+  #   每周一 03:10  VACUUM ANALYZE (维护表统计信息)
+  cron:
+    image: meshsafe:latest
+    container_name: meshsafe-cron
+    restart: unless-stopped
+    networks: [meshsafe_net]
+    depends_on:
+      postgres:
+        condition: service_healthy
+    environment:
+      - TZ=Asia/Shanghai
+      - MESHSAFE_ENV=prod
+      - MESHSAFE_DB_URL=postgresql+psycopg2://meshsafe:${MESHSAFE_DB_PASSWORD:-meshsafe}@postgres:5432/meshsafe
+      - MESHSAFE_MASTER_KEY=${MESHSAFE_MASTER_KEY:?MASTER_KEY_REQUIRED}
+    volumes:
+      - ./data/logs:/var/log/meshsafe      # 归档日志共享目录
+      - ./scripts:/app/scripts:ro          # archive_old_tasks.py + cron_entrypoint.py
+    entrypoint: ["python3", "/app/scripts/cron_entrypoint.py"]
+
   # ---------- Nginx（反向代理，内网 HTTP 明文）----------
   # 外部端口 44380 → 内部 80 → api:8443
   # 无 TLS，外层防护靠光闸