fix(cma): 工作台跨实体治本 · DAMA 回查收口 — 审计可归属 + 通知日志口径

DAMA 独立回查 dama-recheck-workbench-entity-isolation-20260922 的 §4b/§5 两处待办：

1. POST /api/cma/tenant/switch 审计行原来不可归属：
   - user_id=None → 改为注入会话用户（user=Depends(require_auth_401)）
   - target_type/target_id 从 system_config/None 对齐为 entity/<entity_id>，
     与 /auth/switch-entity 的 switch_entity 共用目标维度 ⇒ 按账套可过滤，零 DDL
   - action 字面 switch_tenant_state 保留不合并（与会话级 switch_entity 语义不同），
     口径登记 docs/audit-and-notification-caliber-20260922.md

2. /api/cma/notifications/logs 增加 policy/note 口径字段，前端发送记录表
   empty-text 提示同一口径 —— 避免「B2 上线后 e1/e2 均 0 条」被当成页面故障
   （现库 8 行历史记录全为 alert_id IS NULL 的 OKR 复盘提醒，无账套归属）

回归：tests/test_workbench_entity_isolation_20260922.py 22/22；全量 1370 passed；前端 vite build 通过

backend/app/api/tenant.py

@@ -17,6 +17,13 @@
      收紧会切断其原始用途。
   5. 每次写都落 `operation_logs`（action=`switch_tenant_state`）留痕 —— 修复前本端点
      无审计（ops 止血单假定「走端点即有审计」不成立，已在本单补齐）。
+  6. **审计行可归属（2026-09-22 DAMA 独立回查 §4b 后补）**：`user_id` = 当前会话用户
+     （原写 None ⇒ 事后无法追操作人）；`target_type="entity"` + `target_id=<entity_id>`
+     与 `POST /auth/switch-entity`（action=`switch_entity`，`auth.py`）**共用同一目标维度**
+     ⇒「按账套查换账套记录」= `WHERE target_type='entity' AND target_id=?`（`operation_logs`
+     无 `entity_id` 列，无需 DDL）。两字面**刻意不合并**：一个改「用户自己的会话账套」、
+     一个改「平台全局状态记录」，合并后审计上不可分辨。口径登记见
+     `docs/audit-and-notification-caliber-20260922.md`。
 """
 from fastapi import APIRouter, Depends, HTTPException
 from pydantic import BaseModel
@@ -64,7 +71,8 @@ def get_current_tenant(
 
 
 @router.post("/switch")
-def switch_tenant(data: TenantSwitchRequest, db: Session = Depends(get_db)):
+def switch_tenant(data: TenantSwitchRequest, db: Session = Depends(get_db),
+                  user=Depends(require_auth_401)):
     """切换当前租户状态记录（项目Bot 分发 A2A 任务用；CMA前端企业切换器已下线）
 
     2026-09-22：写操作**不动**（保留 Bot 通道可用性），补 `operation_logs` 审计留痕。
@@ -101,11 +109,14 @@ def switch_tenant(data: TenantSwitchRequest, db: Session = Depends(get_db)):
         ))
 
     # 审计留痕（2026-09-22 补齐：本端点原无 operation_logs 记录）
+    # 2026-09-22 DAMA 回查 §4b 后补：user_id 记操作人（原 None ⇒ 无法追人）；
+    # target_type/target_id 与 /auth/switch-entity 的 switch_entity 对齐 ⇒ 按账套可过滤
+    # （operation_logs 无 entity_id 列，无须 DDL）。
     db.add(OperationLog(
-        user_id=None,
+        user_id=user.id,
         action="switch_tenant_state",
-        target_type="system_config",
-        target_id=None,
+        target_type="entity",
+        target_id=data.entity_id,
         detail={
             "entity_id": data.entity_id,
             "entity_name": ent.name,