refactor(access): 统一分层白名单权限语义

取消跨主体专属占用，按租户、用户组、用户、当前 API Key 和 scope 分层求交，并在任务落库前统一校验候选。\n\n增加旧 allow 规则归档清理迁移、脱敏审计工具和回滚运行手册，补齐主体隔离、deny 优先及列表与运行时一致性测试。

apps/api/internal/httpapi/handlers.go

@@ -632,7 +632,7 @@ func (s *Server) listModels(w http.ResponseWriter, r *http.Request) {
 
 // listPlayableModels godoc
 // @Summary 列出可调用模型
-// @Description 按当前用户权限返回可用于 Playground 或 API 调用的模型列表。
+// @Description 按全局启用、租户、用户组、用户、当前 API Key 分层白名单及 scope 的交集返回可用于 Playground 或 API 调用的平台来源；其他主体规则不参与求值。
 // @Tags playground
 // @Produce json
 // @Security BearerAuth
@@ -1201,6 +1201,16 @@ func (s *Server) createTask(kind string, compatible bool) http.Handler {
 			writeTaskError(status, err.Error(), nil, clients.ErrorCode(err))
 			return
 		}
+		if err := s.runner.ValidateModelAccess(r.Context(), kind, model, prepared.Body, user); err != nil {
+			if errors.Is(err, store.ErrNoModelCandidate) {
+				applyRunErrorHeaders(w, err)
+				writeTaskError(statusFromRunError(err), runErrorMessage(err), runErrorDetails(err), runErrorCode(err))
+				return
+			}
+			s.logger.Error("validate model access failed", "kind", kind, "error_category", "model_access_validation_failed", "error", err)
+			writeTaskError(http.StatusInternalServerError, "validate model access failed", nil, "model_access_validation_failed")
+			return
+		}
 
 		runMode, err := s.admittedTaskRunMode(admission, prepared.Body)
 		if err != nil {