[Task][P1] 隔离观测记录查询与外部导出的租户访问权限 #325

独立交付

定义统一读/导出授权接入契约并接通实际已有消费入口；先盘点入口，未提供某入口时明确非适用，不为了验收新建平台。

输入与输出

输入：可信调用者、观测记录所属租户/应用和查询或导出动作。输出：允许或拒绝，以及脱敏审计引用。

验收场景

租户 A 查询或导出 B 的记录被拒绝；猜测 run/traceId 不绕过；临时调试/采样开关不扩大访问；授权撤销后新读取拒绝；错误不泄露内容。

非目标

不实现新 IAM、观测数据库或通用 TTL 引擎；采集字段脱敏由 #319 实施。

前置与归属

父任务 #307。复用 #119 可信身份与实际观测/运行查询入口；外部后端凭据和 ACL 由相应适配负责。

约束

建设任务，不是新复现 BUG。复用已有实现，不强制新增 Maven 模块；独立 Agent/Workflow 不依赖 Graph/Loop。破坏性变化需说明收益、较小替代方案、影响和迁移。基线 Core 04c5686；离线、真实后端及跨 JVM 证据分别报告。