fix(cma): 隔离扫尾 — kpi_alert_higher_better 拆账套 + tenant/switch 审计收口

任务 dama-entity-isolation-sweep-20260923（DAMA 独立回查漏项 / 任总 2026-09-23「按照建议执行」）

① 补漏同源全局键 kpi_alert_higher_better（system_configs，零 DDL）
   - deviation_engine: 新增 higher_better_key(entity_id)；get_higher_better_codes(db, entity_id)
     改为只读本账套键、不回退旧全局键；未配置 → DEFAULT_HIGHER_BETTER（兜底，与原行为逐字一致）
   - budget.py: GET/PUT /alert-direction 挂 get_entity_id，只读写会话账套键；body entity_id 不信
   - scripts/migrate_higher_better_key_entity_20260923.py: --check/--apply/--down + 库名保护 + 幂等
   - 生产实况：库内该键 0 行 ⇒ 无原值可搬运（--apply 走 skip 零写入），e1 行为不变

② kpi_visibility 口径裁定：角色级天然全局 = 非账套维度，不拆（关闭本项）
   - auth_middleware 注释 + docstring 登记「有意不做账套后缀」；口径字典
     docs/global-config-keys-caliber-20260923.md（含 budget_mode/budget_driver_mode 评估结论）

③ tenant/switch 审计收口
   - detail 显式 from_entity_id → to_entity_id + source + operator{id,username,name,role}
   - 审计失败不静默：同事务回滚 + AUDIT_WRITE_FAILED ERROR + HTTP 500（不留「改了但没审计」）
   - GET /current 无写路径不落审计；历史缺口不补写

证据：新增/改写用例 17 条；全量 1397 passed（去新增文件 1380 + 17）；RED 态 8 failed

backend/app/auth_middleware.py

@@ -244,9 +244,25 @@ def has_action(user: User, action: str, db: Session = None) -> bool:
 
 
 # ─── KPI可见性（按维度/分类过滤） ───
+#
+# ⚠️ 口径裁定（2026-09-23 dama-entity-isolation-sweep-20260923 §一②）：
+# `role_permissions.key = 'kpi_visibility'` **属「非账套维度」的全局配置，不拆账套**
+# —— 理由：① 值本身是 `{role: [维度规则]}` 的**角色维度**字典，无账套语义；
+#        ② 角色枚举（ceo/finance/business/it）是平台级字典，`role_permissions` 表
+#           亦无 `entity_id` 列（`key` unique），「按角色看哪些维度」是集团统一口径；
+#        ③ 与 `route_permissions` / `action_permissions` 同族（同为角色级权限面），
+#           若只拆本键会与同表另两键口径分裂。
+# 判别口径：**同表同族的键按同一维度处理**；本键不消费任何账套状态、也不被账套写侧改写。
+# 登记：`docs/global-config-keys-caliber-20260923.md`（键维度字典）。
+
 
 def _load_kpi_visibility(db: Session = None):
-    """从RolePermission表加载kpi_visibility配置（独立缓存）"""
+    """从RolePermission表加载kpi_visibility配置（独立缓存）
+
+    **非账套维度**（角色级天然全局，口径见上方注释与本档登记）：
+    只读 `role_permissions.key = 'kpi_visibility'`，**有意不做账套后缀**——
+    这是集团共享口径，不是漏隔离。
+    """
     import time
     if not hasattr(_load_kpi_visibility, "_cache"):
         _load_kpi_visibility._cache = {"data": None, "ts": 0}