feat(security): complete capability messaging workflows

docs/architecture/authentication-authorization-security.md

@@ -110,6 +110,7 @@ DataScope：
 - `Tiku.Contracts` 只包含版本化 DTO，不引用 EF、HTTP 或 Provider SDK。
 - API 使用 MassTransit EF Bus Outbox，Worker consumer 使用 EF inbox/outbox；业务变更、审计和消息由同一 DbContext 提交。
 - RabbitMQ 消息只负责非权威失效版本、菜单刷新和下游通知；成员、租户、Session 或套餐失效不等待 consumer。
+- 即时 `BackgroundJob` 由 `BackgroundJobRequestedV1` Consumer 执行；延时任务和失败后的定时重试继续由数据库调度器处理，同一即时任务不会同时进入两种消费路径。业务 handler 必须使用受审计 System Scope 提供的 scoped `DbContext`。
 - System Scope 只能通过完整 `SystemScopeRequest` 创建；成功路径将 entered 审计、跨租户业务写入和 completed 审计放入同一 PostgreSQL 事务。
 
 ## 审计与错误
@@ -137,6 +138,7 @@ DataScope：
 - CORS 明确 Origin。
 - Redis 7.2+ 连接串；Production 缺失时拒绝启动。
 - RabbitMQ 4.x Host、virtual host 与凭据；Production 缺失时拒绝启动。
+- 默认镜像不依赖 `x-delayed-message` 插件；Consumer 使用有限即时重试，延时业务重试落回 PostgreSQL `RunAfter`。
 - 公网只暴露覆盖 Forwarded Headers 的可信网关，API ACL 只允许该网关访问。
 - Secret encryption key。
 - 短信、对象存储、支付、通知和 AI provider 只通过租户 Provider 配置读取密钥。