安全、多租户与权限边界

请求进入领域服务前应具备用户、租户和角色上下文。Controller 不应仅依赖前端传入的 tenantId 或资源所有者字段，服务层要从认证上下文重新计算可见范围。

边界清单

• Gateway/Auth 负责 Token 校验、刷新、登出和外部 MCP Key 校验。
• UPMS 负责角色/菜单/部门/租户授权数据。
• 业务服务负责资源级校验，例如房间成员、文件归属、Agent 所属租户。
• AI 工具执行前检查工具启用状态、Agent 绑定、用户权限和敏感参数。
• 日志脱敏 Token、API Key、密码、文件下载签名和模型密钥。