feat(patients): phase B4 — messages (پیام‌ها)

Add a patient message/communication log: a new PatientMessage entity
(record-scoped, CASCADE) + repository, and owner-scoped endpoints
(GET messages, POST message, DELETE message) with a validated channel
(sms/note/call/email). Wire the "پیام‌ها" tab in PatientDetailPage
(send box + list + delete). PHPUnit covers create/list/delete + ownership
+ validation; Vitest covers the tab. API docs updated.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

docs/api/patient.md

@@ -535,3 +535,29 @@ When an appointment's status changes to `confirmed` via `PATCH /api/v1/appointme
 |------|------|-------------|
 | 422 | `ERR_VALIDATION_001` | عنوان خالی (`field: title`) |
 | 404 | `ERR_PATIENT_001` / `ERR_NOT_FOUND_001` | رکورد/رکورد پزشکی یافت نشد یا tenant دیگر |
+
+---
+
+## پیام‌های بیمار (Messages)
+
+لاگ پیام‌ها/ارتباطات با بیمار (SMS/یادداشت/تماس). scope به رکورد و tenant.
+
+**Permission:** `IS_AUTHENTICATED_FULLY` (مالک رکورد)
+
+### GET `/api/v1/patient/{uuid}/messages`
+لیست (جدیدترین اول). Response: `{ success, data: [{ uuid, body, channel, created_at }] }`
+
+### POST `/api/v1/patient/{uuid}/message`
+```json
+{ "body": "متن پیام", "channel": "sms|note|call|email (اختیاری، پیش‌فرض sms)" }
+```
+`body` الزامی؛ `channel` نامعتبر → `sms`. Response `201`.
+
+### DELETE `/api/v1/patient/message/{uuid}`
+حذف. فقط مالک؛ در غیر این صورت `404`.
+
+### Errors
+| HTTP | Code | Description |
+|------|------|-------------|
+| 422 | `ERR_VALIDATION_001` | متن خالی (`field: body`) |
+| 404 | `ERR_PATIENT_001` / `ERR_NOT_FOUND_001` | رکورد/پیام یافت نشد یا tenant دیگر |