refactor(api): 请求体解析收成 readJson / parseBody

54 处 handler 都手写同一段：
  const parsed = X.safeParse(await c.req.json().catch(() => null))
  if (!parsed.success) return failure(c, 400, "invalid-request", ...)
漏写 .catch 就是一个畸形请求打出 500。

- http.ts 加 readJson（读 + 校验）和 parseBody（再加上 400）。parseBody 不给
  message 时回 zod 的第一条 issue —— 后台表单原来就是这么写的，fallback 文案
  「Invalid payload」/「参数错误」只在 issues 为空时才用得上，实际走不到
- 51 处换成 parseBody；另 3 处失败时带别的错误码或和路径参数一起判，换成 readJson
- 错误码、状态码、文案、判断顺序都不变

实跑核过：非 JSON 请求体回原来的固定文案，公告标题为空回 zod issue。

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

apps/api/src/routes/contest.ts

@@ -27,7 +27,7 @@ import { optionalAuth, requireAuth } from "../auth/middleware"
 import { setContestPassword } from "../auth/session"
 import { db, schema } from "../db"
 import { astRequirements } from "../judge/ast"
-import { failure, success } from "../http"
+import { failure, parseBody, success } from "../http"
 import {
   canAccessContest,
   checkContestPassword,
@@ -163,11 +163,12 @@ contestRoutes.post("/contests/:id/access", requireAuth, async (c) => {
   )
   if (!contest || !contest.password)
     return failure(c, 404, "contest-not-found", "Contest does not exist")
-  const parsed = contestPasswordRequestSchema.safeParse(
-    await c.req.json().catch(() => null),
+  const parsed = await parseBody(
+    c,
+    contestPasswordRequestSchema,
+    "Password is required",
   )
-  if (!parsed.success)
-    return failure(c, 400, "invalid-request", "Password is required")
+  if (!parsed.success) return parsed.response
   // 比赛密码往往就是几位数字，不限的话一个脚本几分钟就能扫完。
   // 按「人 × 比赛」计失败次数：猜错的是自己，锁的也只是自己进这一场。
   const attemptKey = `contest-password:${contest.id}:${c.get("user")!.id}`