fix(security): 4端点补跨租户鉴权 — 实体1会话读实体2数据(200)→403 (cma-cross-entity-endpoints-auth-20260914)

背景（项目Bot 补充复验 §四#2）：以下 4 个只读端点未做会话账套鉴权，
用 entity=1(酣客) 会话 token + 显式 entity 参数可读到 entity=2(博海) 数据（HTTP 200）：
  - GET /data-quality/governance-check?entity_id=2   → 200 score=88（对照 entity1=72）
  - GET /products/matrix?entity_id=2                 → 200
  - GET /alerts/risk-matrix?entity=bohai             → 200 博海风险矩阵
  - GET /action-plans/coso-checklist?entity=bohai    → 200 博海 COSO total_score=55
另：risk-matrix / coso-checklist 在非法实体值下静默回落酣客数据，UI 标签与数据不一致。

改动：
1. deps.py 新增统一防护入口 assert_entity_scope / assert_entity_slug_scope /
   get_session_entity / resolve_session_slug（文案对齐 get_entity_id：无权访问企业 entity_id=X（当前账套: Y））
2. governance-check / products/matrix：entity_id 须等于会话账套，否则 403；
   缺省按会话账套（governance-check 原缺省 0=全部 → 登录态下按账套收敛）
3. risk-matrix / coso-checklist：entity 须等于会话账套，否则 403；
   非法值 → 400 显式报错（不再静默回落酣客）
4. P3：POST /auth/switch-entity 加 DEPRECATED 注释（前端已无调用，保留不删）
5. 测试：tests/test_security_multitenant.py 新增 TestCrossEntityEndpointAuth 15 例
   （跨实体 403 / 同实体 200 / 缺省按账套 / 非法显式报错 / 参照端点行为不变）

验证：pytest tests/ -q → 951 passed（10 项失败为改动前既有基线，已 stash 对照确认）；
      真实后端冒烟 19/19 PASS（entity=1 会话 4 端点跨实体全 403）。

backend/app/api/auth.py

@@ -168,7 +168,13 @@ def switch_entity(
     current_user: User = Depends(require_auth),
     db: Session = Depends(get_db),
 ):
-    """账套切换：校验授权 → 重新签发token → 写操作日志（方案B：无缝刷新token）"""
+    """账套切换：校验授权 → 重新签发token → 写操作日志（方案B：无缝刷新token）
+
+    DEPRECATED（cma-cross-entity-endpoints-auth-20260914，P3）：
+      自 2026-09-14 移除应用内企业切换器后，前端已无任何调用（换企业 = 退出重登）。
+      端点保留仅为兼容存量脚本/回滚（不删）；新代码请改用「重新登录携带 entity_id」。
+      注：本端点曾用于切换会话账套；当前账套口径以登录 token 绑定为准。
+    """
     entity_id = data.get("entity_id")
     if not entity_id:
         raise HTTPException(400, "缺少entity_id")