feat(appview): PDS-Firehose konsumieren

Gegenstück zum subscribeRepos-Endpoint: WebSocket-Consumer mit
persistiertem seq-Cursor, Reconnect-Backoff und Behandlung von
#info/OutdatedCursor.

Eigene Cursor-Tabelle statt einer Zeile in jetstream_cursor: dort steht ein
time_us in der Größenordnung 1.7e15, die seq ist ein kleiner Zähler ab 1.
Geteilt hätte GREATEST den PDS-Cursor sofort in eine Zukunft geschoben, die
die PDS nie erreicht.

Kein neuer Indexer-Pfad — jede Op wird in die Single-Op-Form übersetzt, die
apply_commit schon vom Jetstream kennt. Push und Firehose liefern denselben
Commit doppelt; das ist unkritisch, weil die Schreibpfade Upserts sind und
der Dedupe-Index der Notifications den Rest abfängt. Mit einem Test
festgehalten statt vorausgesetzt.

Der CAR-Reader ist neu (es gab nur einen Writer, und der liegt in einem
Binary-Crate ohne lib-Target). Der CBOR-Reader arbeitet mit explizitem
Offset, weil ein Frame zwei hintereinander geschriebene Werte sind, und
akzeptiert CID-Links in beiden Schreibweisen — die Blöcke tragen Strings.

/healthz meldet beide Ströme getrennt; sie fallen unabhängig voneinander
aus.

Verifiziert mit totem Push-Ziel: der Post kam trotzdem an.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_013HC9HLrUU1LNwkzp8nkDLX

crates/appview/src/routes.rs

@@ -1538,6 +1538,16 @@ async fn actor_list(
 
 // -- healthz ----------------------------------------------------------------
 
+/// Liveness probe.
+///
+/// Both ingest streams report separately. `jetstream_connected` is the
+/// public network's view; `pds_firehose_connected` is the local PDS's
+/// guaranteed delivery path for our own users' records. A deployment
+/// can be perfectly healthy for reads with the first one down, but a
+/// `pds_firehose_enabled: true, pds_firehose_connected: false` pair
+/// means local commits are riding on the best-effort push alone — which
+/// is exactly the state an operator wants to see in a probe rather than
+/// discover from a missing post.
 async fn healthz(State(state): State<AppState>) -> impl IntoResponse {
     let stats = &state.stats;
     Json(json!({
@@ -1545,6 +1555,10 @@ async fn healthz(State(state): State<AppState>) -> impl IntoResponse {
         "lag_ms": stats.lag_ms(),
         "events_processed": stats.events_processed(),
         "jetstream_connected": stats.jetstream_connected(),
+        "pds_firehose_enabled": state.cfg.pds_firehose_enabled,
+        "pds_firehose_connected": stats.pds_connected(),
+        "pds_firehose_frames": stats.pds_frames_processed(),
+        "pds_firehose_seq": stats.pds_last_seq(),
     }))
 }