feat(security): add distributed authorization foundation

docs/architecture/authentication-authorization-security.md

@@ -12,6 +12,7 @@
 - Host、JWT scope、tenant claim、数据库 Session 和请求租户上下文必须一致。
 - JWT 只证明已认证会话，不承载可直接授权的角色或权限。
 - 后台权限每次从数据库角色绑定解析；菜单只控制 UI 展示。
+- 租户后台能力同时要求 Active tenant、有效订阅、模块权益和 operation permission；Capability 仍以 PostgreSQL 为准。
 - 数据权限必须进入 SQL；无法可靠映射 owner、region 或 class 的资源采用 All-only fail-closed。
 - 用户、成员、租户、后台角色、权限、SecurityStamp 或 Session 任一失效，旧 token 不能继续取得能力。
 - Controller 默认要求认证；公开接口必须显式 `[AllowAnonymous]`。
@@ -54,6 +55,8 @@ v2.{t|p}.{tenantId|-}.{sessionId}.{64-byte-random-secret}
 - 已轮换 token 被复用时视为重放，撤销整个 token family 并写审计。
 - logout 撤销当前 refresh token family；logout-all 更新 SecurityStamp 并撤销用户全部 Session。
 
+浏览器入口使用 `/api/browser-auth/*`：access/refresh token 仅写入 Secure、HttpOnly Cookie，响应体不返回 token；不安全方法必须通过同源 Origin 与双提交 CSRF 校验。`/api/auth/*` Bearer 契约继续供小程序、原生客户端和服务调用。
+
 ## Host 与 tenant 解析
 
 Host 是认证上下文，不是普通参数。`TenantResolutionMiddleware` 在 Authentication 前执行。
@@ -83,6 +86,8 @@ Host 是认证上下文，不是普通参数。`TenantResolutionMiddleware` 在
 - 平台角色不带租户键，不能自动读取租户业务数据。
 - 菜单只决定 UI bootstrap 展示，不作为 API 授权依据。
 - 后台 API 必须声明明确 permission；高风险写操作必须记录审计。
+- UI bootstrap 只返回“有效 permission 推导菜单”与有效 Capability 的交集；租户不能绑定当前无权使用的模块权限。
+- Trial/Active 且在有效期内可写；PastDue/Cancelled/Expired 仅允许已有权益模块的历史读取。
 
 DataScope：
 
@@ -97,6 +102,15 @@ DataScope：
 - `ISmsProvider` 只负责发送。
 - 发送失败必须记录失败状态，不能留下可验证验证码。
 - 登录、绑定、找回密码等场景使用独立 purpose 和频控键。
+- Redis Lua 同时执行跨实例 IP、账号、租户、手机号和 purpose 窗口计数；key 只使用 GUID 或不可逆哈希。
+- Redis 不可用时密码尝试、短信发送和短信校验失败关闭；普通授权请求仍直接查询 PostgreSQL。
+
+## 可靠安全事件
+
+- `Tiku.Contracts` 只包含版本化 DTO，不引用 EF、HTTP 或 Provider SDK。
+- API 使用 MassTransit EF Bus Outbox，Worker consumer 使用 EF inbox/outbox；业务变更、审计和消息由同一 DbContext 提交。
+- RabbitMQ 消息只负责非权威失效版本、菜单刷新和下游通知；成员、租户、Session 或套餐失效不等待 consumer。
+- System Scope 只能通过完整 `SystemScopeRequest` 创建；成功路径将 entered 审计、跨租户业务写入和 completed 审计放入同一 PostgreSQL 事务。
 
 ## 审计与错误
 
@@ -121,6 +135,9 @@ DataScope：
 - JWT issuer、audience、当前 `KeyId`、RSA 私钥和旧公钥集合。
 - Data Protection 证书。
 - CORS 明确 Origin。
+- Redis 7.2+ 连接串；Production 缺失时拒绝启动。
+- RabbitMQ 4.x Host、virtual host 与凭据；Production 缺失时拒绝启动。
+- 公网只暴露覆盖 Forwarded Headers 的可信网关，API ACL 只允许该网关访问。
 - Secret encryption key。
 - 短信、对象存储、支付、通知和 AI provider 只通过租户 Provider 配置读取密钥。