feat(fl2): 落地部门目录 / 退回重提(D14) / 授权管理后端（基线 origin/main）

在 b369527 之上增量移植 FL2.0 后端能力，不改既有线级停发/指派预览/流程图入口：

- 部门目录：FlowDepartmentController(/admin/department/{groups,options,resolve,members})
  + UserBaseDepartmentDirectory（先按会话校域解析引用，再读成员；目录不可用 fail-closed）
- 退回重提 D14：POST /oapi/flow/instance/{instanceId}/resubmit，仅原提交人 CAS 路径放行，
  OAPI 侧 submitterId 路径继续 fail-closed
- 授权管理：/api/flow/admin/usage-grant/{schoolList,summary}（校域取管理员会话，无 schId 入参）
- 来源主体：解析器派生 ub-app:{applicationInfo.id}，不再读取 UserBase 的 sourcePrincipalId 字段
- 回调来源策略：SELF 身份强校验；NULL 来源不广播；复合幂等键 (event_id,reg_id)
- 测试夹具：许可/主体/开通桩按新契约修正，FlowEngineIT/FormalApplyCommandIT/
  CallbackDispatchIT/OapiFlowContractIT 共 117 例在真实 MySQL 8 通过

不含：FlSourceAuthorizationTest（其断言的两个 Repository 派生方法属另一实现线）

ci/README.md

@@ -5,7 +5,7 @@
 所有指定类必须存在；Surefire 不允许零测试；Hibernate 固定 `ddl-auto=validate`。
 
 工作流在 `infra-infra-net` 内新建 `${BUILD_CONTAINER}-db`，镜像 `mysql:8.0`，不映射宿主端口。
-在启动之前把 `flow-test-schema.sql` 复制进初始化目录；该文件只含 20 张表的结构，不含业务数据。
+在启动之前把 `flow-test-schema.sql` 复制进初始化目录；该文件只含 14 张表的结构，不含业务数据。
 镜像初始化阶段建立测试 schema，测试阶段只 validate。每个 job 的数据库容器名和随机凭据独立，
 EXIT trap 回收 Maven/MySQL 容器；不访问 160 业务库。
 
@@ -27,13 +27,3 @@ CI 场景必须实际连接 `flowcenter_ci*`，不能悄悄改用默认开发库
 不能将等价 Maven 证据描述为实际 Gitea workflow 已通过。
 
 实体结构变更时应显式刷新 SQL 快照并重新验证；不能把 validate 改为 update 来绕过缺表或缺列。
-
-
-## 核心 RC 功能分支实跑
-
-`codex/core-rc-20261023` 的 push 只执行测试/JAR；镜像推送与通知同时受 main ref 与 tests_only 条件约束。
-检出后核验 `CI_SOURCE_SHA` 等于事件 SHA，不能使用随后更新的 main。
-FL 在同一独立 MySQL 容器额外创建空 `flowcenter_ci_invalid`，先运行 `verify-failure-guard.sh`：
-要求 11 项真实数据库测试因 validate 缺表报错、Maven 非零且无 JAR；随后对 20 表正常 schema 执行正向门禁。
-空库检查的预期失败不属于 380 项正向用例。回收检查打印 `CI_CONTAINER_CLEANUP=PASS`，同时删除本次容器的匿名卷。
-本文件是运行约定；只有取得对应远端准确 SHA 的实际日志，才能宣称 runner 已完成验证。