契约:三个端与路由归属(access 必填)、Principal / 角色→端 / 名册同步 schema、退役路由标 @deprecated(ADR-012)

- packages/contracts/src/api/http.ts:新增 SURFACES / surfaceSchema / Surface / SURFACE_LABEL /
  RouteAccess;RouteContract.access 必填;API_ERROR_CODES 增 'gone'。
- packages/contracts/src/org.ts:staffSchema 补 email? / roles(realm 角色快照);新增
  principalSchema/Principal、roleAccessSchema/RoleAccess、rosterSyncOutcomeSchema/RosterSyncOutcome、
  inFlightWorkSchema/InFlightWork;旧岗位授权(grant* / governanceFunction*)与 sessionSchema/Session
  全部标 @deprecated 留一轮(web 编译不受影响,下个迭代删)。
- workbench.ts / governance.ts / ingest.ts:每条既有路由补 access(按所属端/两端共用/退役 public);
  新增 meRoute、authTicketRoute(access:'any')与 syncStaffRoute、setStaffPositionRoute、
  staffInFlightRoute、listRoleAccessRoute、setRoleAccessRoute、deleteRoleAccessRoute(access:'ops')。
- apps/api 的 org-service.ts 两处 staff.insert 补 roles: [](staffSchema 新必填字段,该文件下个
  迭代会整份替换,这里只是让本次 typecheck 过)。
- 新增 packages/contracts/src/__tests__/route-access.test.ts:95 条路由的 access 归属断言。

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_015kAzS35kMnZNt4YGgJXtfw

apps/api/src/modules/org/internal/usecase/org-service.ts

@@ -98,6 +98,7 @@ export function createOrgService(deps: OrgServiceDeps): OrgService {
         name: input.name,
         positionId,
         state: 'active',
+        roles: [],
       });
       // 新员工带初始口令建档 —— 不留「有账号但登不进」的半成品
       await deps.staff.setPasswordHash(created.id, await deps.passwords.hash(deps.seedPassword));
@@ -254,6 +255,7 @@ export function createOrgService(deps: OrgServiceDeps): OrgService {
           name: seed.name,
           positionId,
           state: 'active',
+          roles: [],
         });
         // 新员工一律带初始口令入库 —— 没有「无口令即可登录」的窗口
         await deps.staff.setPasswordHash(created.id, await deps.passwords.hash(deps.seedPassword));