feat(merge): 完成 AL-09 合并接线，整合风控模块与宿主 Wave 0

- 合并 `risk-control-agent` 分支至 `merger`，实现 JWT 统一与模块 API 恢复。
- 更新 `auth_service` 和 `auth_adapter`，确保对外登录/token 统一。
- 增强 chat 模块，支持会话管理与流式对话（SSE）。
- 测试基线更新至 502 passed, 1 skipped，确保系统稳定性。

此更新标志着风控模块的成功集成，提升了系统的整体功能与可维护性。

docs/项目框架设计/合并注意事项-风控模块并入main.md

@@ -1,6 +1,24 @@
 # 合并注意事项 · 风控 Agent 模块并入 main（AL-09 执行手册）
 
-> 版本：2026-09-07 v1.0（基于 `risk-control-agent` 分支 HEAD `cfbd056` 实测编制）
+> 版本：2026-09-07 v1.0（基于 `risk-control-agent` 分支 HEAD `cfbd056` 实测编制）  
+> **执行状态：AL-09 已完成（2026-09-08，工作分支 `merger`）** — 下文 §0~§7 为合并前手册，保留作审计参照；执行摘要见下节。
+
+---
+
+## ✅ AL-09 执行记录（2026-09-08）
+
+| 项 | 结果 |
+| --- | --- |
+| 工作分支 | `merger`（已 merge 风控模块 + 宿主 Wave 0） |
+| JWT 统一 | `/api/auth/login` → `auth_service.issue_dev_token`；`gateway/jwt_service` issuer/audience 读 `settings` |
+| 模块 chat 恢复 | `chat.py` / `agent_service.py` / `memory_service.py`（含 sessions/stream） |
+| S2 接缝 | `auth_adapter.module_auth_from_host()` 已接线 |
+| trace 中间件 | ApiError / AppError / PermissionDenied / RequestValidationError / StarletteHTTPException **re-raise**；仅未捕获 → 500 |
+| 边界测试 | `tests/test_module_boundary.py` 全绿（宿主 D 类文件排除跨层扫描） |
+| 测试基线 | **`python -m pytest` → 502 passed, 1 skipped** |
+
+**架构结论：** 宿主 `gateway/` 与模块 `deps.py` **双栈并存**；对外 token 统一；模块 API 禁止 import `app/gateway/`。
+
 > 用途：**给合并执行人**——风控模块开发方已交付（482 用例全绿 + 接口实调验收通过），本文档是该模块并入 main 的全部注意事项。逐项过完再动手，可避开已知的全部坑。
 > 裁决依据（冲突逐文件怎么改）：**《风控Agent模块边界与合并接缝标注.md》§4 裁决表**——本文档讲"操作顺序与坑"，与它配合读。