feat(notify): 微信订阅消息推送（驳回通知已对接）

- 新增 server/services/wechatSubscribeService.ts：access_token 缓存 + 模板配置 + 字段裁剪 + subscribe/send
  · 内置默认模板 SONG_REJECTED（模板 ID erAK**…，审核内容=thing6←歌名，驳回原因=thing4←驳回原因）
  · 环境变量 WECHAT_MINI_SUBSCRIBE_TEMPLATES 可按键覆盖默认模板
  · thing 字段按微信限制裁到 20 字（超长截 19 字 + 省略号），避免 47003
  · 发送永不抛异常；43101（用户没授权/没额度）只记 info
- 新增 server/api/user/wechat-subscribe-templates.get.ts：给小程序返回模板 ID（客户端要拿它去申请授权）
- 新增 server/api/admin/wechat/test-subscribe.post.ts：超管自测接口（token/openid/字段/微信原文一次看清）
- notificationService.ts：歌曲被选中/已播放/被驳回/系统通知 四处顺带发微信订阅消息
- .env.example + 部署流水线：WECHAT_MINI_SUBSCRIBE_TEMPLATES 可用仓库 Secret 下发

.gitea/workflows/deploy.yml

@@ -975,6 +975,9 @@ jobs:
                 upsert_env_key AGGREGATE_OAUTH_ENDPOINT "${AGGREGATE_OAUTH_ENDPOINT}" || MERGE_OK=0
                 upsert_env_key WECHAT_MINI_APPID "${WECHAT_MINI_APPID}" || MERGE_OK=0
                 upsert_env_key WECHAT_MINI_SECRET "${WECHAT_MINI_SECRET}" || MERGE_OK=0
+                # 微信订阅消息模板（JSON）。仓库 Secret 里没设这项时 upsert_env_key 直接返回，
+                # 不会清掉服务器 .env 里手工配置的值。
+                upsert_env_key WECHAT_MINI_SUBSCRIBE_TEMPLATES "${WECHAT_MINI_SUBSCRIBE_TEMPLATES}" || MERGE_OK=0
                 rm -f "${ENV_FILE}.tmp.$$"
                 if [ "${MERGE_OK}" = "1" ]; then
                   echo "[Runtime-env] 运行期配置已合并写入 ${ENV_FILE}（OAuth=${AGGREGATE_OAUTH_APP_ID:+已配置} WECHAT_MINI_APPID=${WECHAT_MINI_APPID:+已配置}）"