fix(cma): entity isolation batch3 (cost abc write endpoints + allocations/stats reads + plan kr_id scope)

- cost.py: POST /abc/activities 按会话账套写入 entity_id；POST /abc/allocate 校验 activity_id 归属本账套(跨账套 404)并透传 entity_id；GET /abc/allocations 加账套过滤
- cost_engine.py: allocate_cost(entity_id=None) 按账套过滤作业中心 + 显式写入 AbcAllocation.entity_id（不传维持原语义）
- action_plans.py: update_plan 的 kr_id 加账套校验(跨账套 404，对齐 create_plan 既有写法)；plan_stats join KPIDefinition 按账套过滤(口径与 list_plans 一致)
- tests: 新增 tests/test_cross_entity_isolation_batch3_20260918.py（10 例；改前 7 failed/3 passed → 改后 10 passed）
- 回归: 1184 passed,1 xfailed → 1194 passed,1 xfailed（无新增失败）

backend/app/api/action_plans.py

@@ -262,7 +262,8 @@ def update_plan(
         if data["kr_id"] is None:
             plan.kr_id = None
         else:
-            kr_ent = db.query(KR).filter(KR.id == data["kr_id"]).first()
+            # 账套隔离: KR 必须属于当前企业（对齐同文件 create_plan:158 既有写法；2026-09-18 batch3）
+            kr_ent = db.query(KR).filter(KR.id == data["kr_id"], KR.entity_id == entity_id).first()
             if not kr_ent:
                 raise HTTPException(404, "关联KR不存在")
             plan.kr_id = kr_ent.id
@@ -299,9 +300,19 @@ def delete_plan(plan_id: int, db: Session = Depends(get_db), entity_id: int = De
 
 
 @router.get("/stats")
-def plan_stats(db: Session = Depends(get_db), current_user: User = Depends(require_auth)):
-    """行动计划统计"""
-    query = db.query(ActionPlan)
+def plan_stats(db: Session = Depends(get_db), current_user: User = Depends(require_auth),
+               entity_id: int = Depends(get_entity_id)):
+    """行动计划统计（账套隔离: join KPI 按企业过滤, 2026-09-18 batch3）
+
+    口径说明（为何改）：本端点原为全局统计（仅 business 角色按 assignee 过滤）→ 非 e1 账套
+    用户看到的是含其它账套计划的合计，与同文件列表端点 list_plans（join KPIDefinition 按账套）
+    的可见集不一致。现按同文件既有先例（update_plan/delete_plan 的 join(KPIDefinition)）过滤，
+    保证「统计数 = 列表可见行数」。数据侧存在 action_plans 行 entity_id 与 KPI 归属不一致的
+    存量行（batch2 报告 §六.2），统一以 KPI 归属为准与列表口径一致。
+    """
+    query = (db.query(ActionPlan)
+             .join(KPIDefinition, KPIDefinition.id == ActionPlan.kpi_id)
+             .filter(KPIDefinition.entity_id == entity_id))
     if current_user.role == "business":
         query = query.filter(
             (ActionPlan.assignee == current_user.username) |