feat(backend): 메일 서식 본문 발송과 정화 전 비용 검사

메일 쓰기에 서식 편집기가 들어오면서 서버가 HTML 본문을 받아 보낸다. 편집기의 출력은 믿지 않고 서버가 다시 정화한다.

- 서식 본문(bodyHtml)은 보내는 메일 전용 허용 목록으로 다시 정화해 텍스트 대체 본문과 multipart/alternative 로 보낸다
  (style 은 속성마다 값 형식을 처음부터 끝까지 맞추고, 링크는 http·https·mailto 만). 정화해서 비면 텍스트 메일로 보낸다
- 받은 메일 정화가 편집기 서식을 모두 남기도록 넓혔다 — 보낸편지함·받는 사람 화면에서 서식이 사라지지 않게
- 발송 POST /api/messages 만 JSON 4MB (서식 본문·긴 인용). 중복 방지 지문에 정화한 서식 본문을 넣는다
- htmlparser2 는 중첩 깊이의 제곱으로 느려져, 깊게 중첩한 2MB 메일 한 통에 3분 가까이 서버가 멈췄다.
  정화 전에 선형 시간으로 파서 스택 비용을 재고, 넘으면 받은 메일은 htmlBody 없이(텍스트로), 서식 본문은 VAL_001
- 정화한 서식 본문이 2,000,000바이트(본문 읽기 한도)를 넘으면 VAL_001 — 다시 읽을 때 표시 없이 잘리지 않게
- 받은 메일 정화의 다른 제곱 시간 경로 2개(style 의 url() 정규식, 주소 없는 img 를 지우는 필터)도 고쳤다
- htmlparser2 를 직접 의존성으로 선언한다 — sanitize-html 이 쓰는 12.0.0 과 같은 판이라 lock 은 루트 한 줄만 바뀐다

계약: docs/mail/api-contract.md 2절 "서식 본문"·"읽기 한도"

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

backend/test/app.e2e-spec.ts

@@ -250,6 +250,44 @@ describe('응답 계약 (e2e)', () => {
     expect(body(res).error?.traceId).toBe(res.headers['x-request-id']);
   });
 
+  it('발송(POST /api/messages)만 JSON 본문 4MB 까지 받는다 — 2MB 발송 본문은 파서를 지나 인증 검사에 닿고, 4MB 를 넘으면 413 FILE_002', async () => {
+    const parsed = await request(server)
+      .post('/api/messages')
+      .set('Content-Type', 'application/json')
+      .send(JSON.stringify({ body: '', bodyHtml: 'x'.repeat(2_000_000) }))
+      .expect(401);
+    expect(body(parsed).error?.code).toBe('AUTH_001');
+
+    const tooLarge = await request(server)
+      .post('/api/messages')
+      .set('Content-Type', 'application/json')
+      .send(JSON.stringify({ body: '', bodyHtml: 'x'.repeat(4_300_000) }))
+      .expect(413);
+    expect(body(tooLarge).error?.code).toBe('FILE_002');
+    expect(body(tooLarge).error?.traceId).toBe(
+      tooLarge.headers['x-request-id'],
+    );
+  });
+
+  it('다른 API 는 그대로 1MB — 같은 2MB 본문이 로그인·메일 수정(PATCH /api/messages/:id)에서는 413 FILE_002', async () => {
+    const twoMegabytes = JSON.stringify({
+      email: 'x',
+      password: 'y'.repeat(2_000_000),
+    });
+
+    for (const [method, url] of [
+      ['post', '/api/auth/login'],
+      ['patch', '/api/messages/eaaaaab'],
+    ] as const) {
+      const res = await request(server)
+        [method](url)
+        .set('Content-Type', 'application/json')
+        .send(twoMegabytes)
+        .expect(413);
+      expect(body(res).error?.code).toBe('FILE_002');
+    }
+  });
+
   it('형식이 맞는 x-request-id 는 이어받고, 그 밖의 값은 새로 발급한다', async () => {
     const kept = await request(server)
       .get('/api/users/999999')