M1: 底座 —— @contracts 首版 + event / ledger / org / llm

@contracts 首版(§8.1 九个文件):
- id 品牌 ID / terminal 终态五名与归侧四标签 / envelope 信封六字段与四类事件
- card 工单两模式 + 对话卡族(形状对齐 2026-07-26 原型定稿)
- contract7 契约七件 / ledger 三级寻址与写三分 / process-package 流程包 DSL 与触发器三类
- manifest 活动包清单六区(含 CMMN·DMN·步序声明的资产形状)/ org / api 路由契约

模块(L1):
- event   信封存储、归属解析三级短路、投递五诺、监听注册表、三级消费裁定
- ledger  schema 自生长(最大化合并/最宽类型/只增不破坏)、任务视图叠加、写三分、冲突检查
- org     岗位授权(客体三类×动作三种)、停用前置检查、会话、种子播种
- llm     四元绑定、ModelGateway 三模式(live/record/replay)—— 两缝之一

app 装配:Hono 服务 + 鉴权中间件 + 治理台/工作台路由;drizzle 迁移;AES-256-GCM 凭证密封

ADR-007 工具链与门禁 · ADR-008 投递队列 · ADR-009 凭证加密
(ADR 编号自 007 续:编码规范 §14 已用到 006,README 写「从 005 续」是笔误)

门禁五道全绿;96 个测试通过,含对真实 PG 的 ledger 集成测试

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01KeDBx2PHLavbURXB8LJJ7m

apps/api/src/modules/org/CONTRACT.md

@@ -0,0 +1,33 @@
+# module: org
+
+职责:      员工与岗位:账号、岗位授权(客体三类 × 动作三种)、停用前置检查、会话装载、
+           岗位在岗人员查询(负责人四策略解析的候选集来源)、种子数据播种
+不负责:    负责人解析算法本身(见 process)、任务与卡的在途判定(经 InFlightWorkProbe 端口由 app 注入)、
+           鉴权中间件与 cookie 会话(app 层)
+
+公开出口:  index.ts
+  - 类型:`OrgService` `StaffWithPosition` `CreateStaffInput` 与 @contracts 的 `Staff` / `Position` /
+          `Grant` / `GrantObject` / `GrantAction` / `DisableCheck` / `Session` 转出
+  - 错误:`StaffNotFoundError` `PositionNotFoundError` `AccountTakenError` `DisableBlockedError`
+  - 端口类型:`PositionRepository` `StaffRepository` `GrantRepository` `InFlightWorkProbe`
+              `Clock` `IdGenerator`
+  - 用例工厂:`createOrgService(deps: OrgServiceDeps): OrgService`
+  - 纯函数:`isAuthorized` `actionCovers` `objectCovers`
+  - 常量:`POSITION_SEED` `STAFF_SEED` `DEFAULT_LOGIN_ACCOUNT`
+  - adapter 工厂(供 app 装配):`createPositionRepository` `createStaffRepository`
+              `createGrantRepository` `objectKeyOf`
+  - Drizzle 表(供 app 迁移与 join):`positionTable` `staffTable` `grantTable`
+
+层级:      L1(编码规范 §4)
+依赖:      @contracts;@shared/db(Drizzle 句柄与 sys schema)
+           port:`InFlightWorkProbe`(app 注入 task / human-tool 的只读用例)、`IdGenerator`
+被依赖:    process(负责人解析的候选集)、message、interaction、human-tool、report、
+           app(鉴权中间件与 /api/gov/staff 路由组装)
+
+不变量:
+  - 动作蕴含:治理 ⊃ 写 ⊃ 读;数据客体三级覆盖(域 ⊃ 对象 ⊃ 字段)
+  - 停用是全有全无:前置检查未过即抛 `DisableBlockedError`,不做部分执行
+  - `authorize` 对停用员工恒 false
+  - `ensureSeeded` 幂等:按 code / account 判存在,已存在则跳过,不覆盖人工改动
+
+影响半径:  index/contract/port 未变 → 对外零影响