fix(plugin-security): explain posture 证据对齐 enforcement 派生（消除标签漂移）

[os-zhuang]

背景（Security review 低危 — posture 标签漂移）

explain-engine 的 derivePosture(context) 用松名字匹配作 posture 证据：

• permissions.includes(ADMIN_FULL_ACCESS) — 纯名字，不校验非作用域；
• positions.includes('org_owner' / 'org_admin') — 读 better-auth 角色岗位。

而 enforcement（packages/core/src/security/resolve-authz-context.ts）的派生更严：

• hasPlatformAdminGrant = admin_full_access 且非作用域（organization_id == null）的 user grant（sys_user_permission_set）；
• TENANT_ADMIN ← organization_admin能力（ctx.permissions.includes(ORGANIZATION_ADMIN)），不读角色岗位（ADR-0095 D3：角色是 provisioning 来源，非裁决输入）。

后果：一个作用域admin_full_access grant（或 org_owner/org_admin 角色）会让 explain 面板给运维显示偏高的 PLATFORM/TENANT_ADMIN 标签。这不改变 explain 的 allow/deny verdict（verdict 来自复用的 enforcement filter），只是 posture 标签漂移。

修法（让 explain 的 posture 走与 enforcement 同一份证据）

1. 优先直接消费 ctx.posture：principal 经完整 resolveAuthzContext 时已带 enforcement 派生的 rung，derivePosture 逐字返回 → 结构上不可能漂移。
2. 回退路径（explain 用 buildContextForUser 自建 context，不经完整 resolveAuthzContext，故无 posture）：复制 enforcement 的非作用域 grant 判定——
   • buildContextForUser 现按与 hasPlatformAdminGrant逐字节一致的规则（名字 admin_full_access 且该 user grant 行 organization_id == null 且在有效期内）计算并挂出 hasPlatformAdminGrant；
   • derivePosture 以 hasPlatformAdminGrant或投影出的 platform_admin 内建岗位（该岗位本身只由该 grant 投影而来 — ADR-0068 D2）判 PLATFORM_ADMIN；以 organization_admin能力判 TENANT_ADMIN；不再读 org_owner/org_admin 角色岗位。
3. 保留 explain 特有的 guest → EXTERNAL（enforcement floor 是 MEMBER），且置于最前（即便挂了 posture 也先落 EXTERNAL）。

范围：只改 explain 的 posture 标签证据 —— 不改 explain 的实际 verdict、不改 enforcement。#2947 已跟踪「posture 未 plumb 进 enforcement context」的更广缺口；本 PR 不做 plumbing，只让 explain 侧派生与 enforcement 派生一致。

测试（实测）

pnpm --filter @objectstack/plugin-security test：423 passed / 18 files（含 authz-matrix-gate、conformance 等）。explain-engine.test.ts 33 passed，新增/更新：

• 有 ctx.posture → 逐字返回（含"显式 posture 覆盖松回退"）。
• 作用域admin_full_access（名字在 permissions、无 unscoped grant、无 platform_admin 岗位）→ MEMBER，不再误标 PLATFORM_ADMIN。
• hasPlatformAdminGrant: true → PLATFORM_ADMIN；投影 platform_admin 岗位 → PLATFORM_ADMIN。
• org_owner/org_admin 角色岗位（无 organization_admin 能力）→ MEMBER（漂移移除）；organization_admin 能力 → TENANT_ADMIN。
• guest/anonymous → EXTERNAL（即便挂了 posture）。
• buildContextForUser：非作用域 admin_full_access user grant → hasPlatformAdminGrant: true；作用域 → false（名字仍进 permissions，但不再赋 platform_admin posture）。

tsc 对改动文件无类型错误（仓库既存的 @objectstack/platform-objects/pages DTS 缺失与本改动无关，位于未触及的 security-plugin.ts）。

关联 #2920，跟踪 #2947。

🤖 Generated with Claude Code

https://claude.ai/code/session_019QRUvVfpvSycAHMMF2xTxs

---

Generated by Claude Code

[vercel]

The latest updates on your projects. Learn more about Vercel for GitHub.

Project	Deployment	Actions	Updated (UTC)
spec	Ready	Preview, Comment	Jul 15, 2026 4:35am

[github-actions]

📓 Docs Drift Check

This PR changes 1 package(s): @objectstack/plugin-security.

11 hand-written doc(s) reference the affected code and may need an implementation-accuracy re-verification:

• content/docs/getting-started/cli.mdx(via @objectstack/plugin-security)
• content/docs/permissions/access-recipes.mdx(via packages/plugins/plugin-security)
• content/docs/permissions/authorization.mdx(via packages/plugins/plugin-security)
• content/docs/permissions/explain.mdx(via @objectstack/plugin-security)
• content/docs/permissions/permissions-matrix.mdx(via packages/plugins/plugin-security)
• content/docs/permissions/sharing-rules.mdx(via @objectstack/plugin-security)
• content/docs/plugins/index.mdx(via @objectstack/plugin-security)
• content/docs/plugins/packages.mdx(via @objectstack/plugin-security)
• content/docs/releases/implementation-status.mdx(via @objectstack/plugin-security)
• content/docs/ui/audience-based-interfaces.mdx(via packages/plugins/plugin-security)
• content/docs/ui/dashboards.mdx(via @objectstack/plugin-security)

Advisory only. To re-verify, run the docs-accuracy-audit workflow scoped to these files:
node scripts/docs-audit/affected-docs.mjs origin/main → pass the list as args.docs.