feat(fl2): 落地部门目录 / 退回重提(D14) / 授权管理后端（基线 origin/main）

在 b369527 之上增量移植 FL2.0 后端能力，不改既有线级停发/指派预览/流程图入口：

- 部门目录：FlowDepartmentController(/admin/department/{groups,options,resolve,members})
  + UserBaseDepartmentDirectory（先按会话校域解析引用，再读成员；目录不可用 fail-closed）
- 退回重提 D14：POST /oapi/flow/instance/{instanceId}/resubmit，仅原提交人 CAS 路径放行，
  OAPI 侧 submitterId 路径继续 fail-closed
- 授权管理：/api/flow/admin/usage-grant/{schoolList,summary}（校域取管理员会话，无 schId 入参）
- 来源主体：解析器派生 ub-app:{applicationInfo.id}，不再读取 UserBase 的 sourcePrincipalId 字段
- 回调来源策略：SELF 身份强校验；NULL 来源不广播；复合幂等键 (event_id,reg_id)
- 测试夹具：许可/主体/开通桩按新契约修正，FlowEngineIT/FormalApplyCommandIT/
  CallbackDispatchIT/OapiFlowContractIT 共 117 例在真实 MySQL 8 通过

不含：FlSourceAuthorizationTest（其断言的两个 Repository 派生方法属另一实现线）

src/main/java/com/yunhai/flowcenter/entity/FlwInstance.java

@@ -16,7 +16,7 @@ import java.time.LocalDateTime;
  * 办件实例（概览 §4.3 + V2.0 Part D）：托管模式下业务对象留在业务方，本表只存
  * biz_title/biz_url/biz_snapshot 快照与关联键。正式命令每轮独立实例，唯一域为
  * (school, sourcePrincipalId, bizType, bizId, applyRound)，单在途由坐标表事务指针保护。
- * 旧入口以 sourcePrincipalId + legacySlot=1 实现每来源一业务一行；正式命令 legacySlot=NULL。
+ * sourcePrincipalId=NULL / legacySlot=1 仅保留迁移前旧入口的一业务一行语义；正式模式关闭旧写入口。
  *
  * <p>version 是乐观锁（推进串行化）兼回调 payload 的 instanceVersion（业务方按它丢弃乱序旧事件），
  * 由 JPA @Version 在 flush 时自增。
@@ -34,7 +34,7 @@ import java.time.LocalDateTime;
 public class FlwInstance extends BaseEntity {
     @Column(name="source_principal_id",length=36,updatable=false)
     private String sourcePrincipalId;
-    /** 1 for source-scoped legacy API writers, NULL for formal commands. */
+    /** 1 for legacy writers, NULL for formal commands. Migration must drop the old three-column UK. */
     @Column(name="legacy_slot")
     private Integer legacySlot = 1;