docs(security): 统一项目级安全边界模型

[xiaoland]

结果

将原本由 core-py 本地文档混合持有的项目级安全边界模型迁移到 Hub，形成所有 InKCre Units/Peers 共享的判断契约。

这是独立的 shared-security-model-ownership correction task，不属于 knowledge-lifecycle-capabilities。

Hub 持有

• shared actors 与 authority
• protected assets
• admission / persistence / data-code / Extension / privileged-operator boundaries
• vulnerability、ordinary bug、hardening、operational risk、accepted risk 的分类
• actor → harm → boundary → attack path → existing controls → control cost 的 proportionality method

Spoke 继续持有

• exact routes、claims、roles、database grants
• rendering、runtime、migration、probe 与 deployment mechanics
• concrete Extension credential / protocol admission
• repository CI 与本地 worked examples

明确不做

• 不进行安全审计
• 不增加认证、secret manager、encryption 或 verifier
• 不改变 vulnerability reporting ownership
• 不将 FastAPI、PostgREST、Alembic、Memos PAT 或 core-py CI 写入共享模型

验证

• git diff --check
• Hub navigation 与 Unit topology 均可到达共享模型
• ownership review：共享正文不依赖具体 Spoke 实现

合并后将单独更新 core-py：移动 shared ref，并把本地 monolith 薄化为 core runtime-specific boundary note。