refactor(access): 统一分层白名单权限语义

取消跨主体专属占用，按租户、用户组、用户、当前 API Key 和 scope 分层求交，并在任务落库前统一校验候选。\n\n增加旧 allow 规则归档清理迁移、脱敏审计工具和回滚运行手册，补齐主体隔离、deny 优先及列表与运行时一致性测试。

apps/api/internal/httpapi/access_rule_handlers.go

@@ -12,7 +12,7 @@ import (
 
 // listAccessRules godoc
 // @Summary 列出访问规则
-// @Description 管理端返回用户组、租户、用户或 API Key 到平台、平台模型、基础模型的访问规则。
+// @Description 管理端返回用户组、租户、用户或 API Key 到平台、平台模型、基础模型的分层访问规则。主体当前层无 allow 时继承上级，存在 allow 时仅允许白名单，deny 始终优先。
 // @Tags access-rules
 // @Produce json
 // @Security BearerAuth
@@ -33,7 +33,7 @@ func (s *Server) listAccessRules(w http.ResponseWriter, r *http.Request) {
 
 // listAPIKeyAccessRules godoc
 // @Summary 列出 API Key 访问规则
-// @Description 返回当前本地用户可管理的 API Key 访问规则。
+// @Description 返回当前本地用户拥有的 API Key 访问规则；不会混入其他用户或其他 API Key 的规则。
 // @Tags api-keys
 // @Produce json
 // @Security BearerAuth
@@ -60,7 +60,7 @@ func (s *Server) listAPIKeyAccessRules(w http.ResponseWriter, r *http.Request) {
 
 // listAPIKeyAssignableModels godoc
 // @Summary 列出 API Key 可分配模型
-// @Description 按当前用户自身的用户、租户和用户组权限返回可分配给 API Key 的启用模型，不受任何 API Key 权限规则影响。
+// @Description 按当前用户自身的租户、用户组和用户分层白名单返回可分配给 API Key 的启用模型，不应用任何 API Key 层规则。
 // @Tags api-keys
 // @Produce json
 // @Security BearerAuth
@@ -88,7 +88,7 @@ func (s *Server) listAPIKeyAssignableModels(w http.ResponseWriter, r *http.Reque
 
 // listAPIKeyAssignableModelsForKey godoc
 // @Summary 列出指定 API Key 可分配模型
-// @Description 返回指定 API Key 所属用户组允许、全局启用且符合 KEY scope 的平台来源，并附带已有规则有效性诊断。
+// @Description 返回全局启用、命中指定 API Key 的租户/用户组/用户基线且符合 Key scope 的可分配平台来源；当前 Key 的 allow/deny 不缩减候选，仅作为已有规则有效性诊断返回。
 // @Tags api-keys
 // @Produce json
 // @Security BearerAuth
@@ -123,7 +123,7 @@ func (s *Server) listAPIKeyAssignableModelsForKey(w http.ResponseWriter, r *http
 
 // createAccessRule godoc
 // @Summary 创建访问规则
-// @Description 管理端创建一条访问控制规则。
+// @Description 管理端创建一条访问控制规则；同一主体层存在任意有效 allow 后该层启用白名单，deny 始终优先。
 // @Tags access-rules
 // @Accept json
 // @Produce json
@@ -161,7 +161,7 @@ func (s *Server) createAccessRule(w http.ResponseWriter, r *http.Request) {
 
 // batchAccessRules godoc
 // @Summary 批量写入访问规则
-// @Description 管理端为同一主体批量新增、更新或删除资源访问规则。
+// @Description 管理端为同一主体批量新增、更新或删除资源访问规则。清空该主体全部 allow 会恢复上级继承。
 // @Tags access-rules
 // @Accept json
 // @Produce json
@@ -194,7 +194,7 @@ func (s *Server) batchAccessRules(w http.ResponseWriter, r *http.Request) {
 
 // batchAPIKeyAccessRules godoc
 // @Summary 批量写入 API Key 访问规则
-// @Description 当前本地用户为自己的 API Key 批量新增、更新或删除可访问资源。
+// @Description 当前本地用户为自己的 API Key 批量新增、更新或删除白名单/拒绝资源；Key 无 allow 时继承父级范围，存在 allow 后仅允许命中项。
 // @Tags api-keys
 // @Accept json
 // @Produce json