feat(client): A3 客户与行业目录（两级行业、客户组、字段审批）

背景：A3 需把行业 / 客户 / 客户组 / 客户级字段立为资产根节点；用户确认两级行业树与混搭 UI（行业 B / 客户列表 A / 详情 A / 新建 B / 客户组 B / 字段 A）。

改动：
- 新增 ADR-002，行业改为两级树，客户挂末级行业；同步 PRD / 技术架构 / 开发计划。
- 新增 client 模块：industries / customers / customer-groups / customer-fields 接口、真实 PrismaCustomerDirectory、客户状态机与客户转交、客户组数据范围解析、跨客户 404。
- 新增迁移与幂等种子（电商/金融两级行业、2 客户、1 客户组、4 条字段）。
- 前端新增行业/客户/客户组/字段审批页面与路由、导航更名（客户管理 / 行业管理 / 客户组），复用现有 token。
- 补充 shared 契约单测、client 集成用例、A3 浏览器 e2e。

影响面：client 模块与 client 表、shared 契约、web 路由/导航、ScopeContext 数据范围、OpenAPI 与种子；A1 客户转交占位由 client 实现替换。
回滚：回滚本提交；数据库保留新增表或按报告执行 down SQL；CUSTOMER_DIRECTORY 可切回空集实现。
验证：format:check / lint / typecheck / test 全绿（shared 131 / api 90 / web 125，共 346）；test:int 5 文件 39 条；A3 e2e 1/1；build 8/8；真实浏览器六页验证通过。

apps/api/src/common/security/security.module.ts

@@ -7,7 +7,6 @@ import { PermissionCatalogService } from './catalog/permission-catalog.service';
 import { JwtAuthGuard, PermissionGuard, ScopeGuard, SpecialPermissionGuard } from './guards';
 import { PermissionService } from './permission.service';
 import { RequestContextService } from './request-context';
-import { CUSTOMER_DIRECTORY, EmptyCustomerDirectory } from './scope/customer-directory';
 import { ScopeResolver } from './scope/scope-resolver.service';
 import { TokenService } from './token.service';
 
@@ -15,8 +14,8 @@ import { TokenService } from './token.service';
  * 全局安全能力：请求上下文（AsyncLocalStorage）、权限解析、数据范围解析、JWT 与守卫链。
  * 守卫顺序：JwtAuthGuard → PermissionGuard → SpecialPermissionGuard → ScopeGuard。
  *
- * `CUSTOMER_DIRECTORY` 是客户目录端口：A2 注册空集实现，A3 落地 client 模块后替换 provider
- * 即可让六类数据范围解析出真实客户集合，ScopeResolver / 守卫链无需改动。
+ * `CUSTOMER_DIRECTORY` 由全局 ClientModule 提供真实实现（A3）；
+ * ScopeResolver / 守卫链只依赖端口，不感知客户模块。
  */
 @Global()
 @Module({
@@ -32,7 +31,6 @@ import { TokenService } from './token.service';
     JwtAuthGuard,
     SpecialPermissionGuard,
     ScopeGuard,
-    { provide: CUSTOMER_DIRECTORY, useClass: EmptyCustomerDirectory },
     { provide: APP_GUARD, useExisting: JwtAuthGuard },
     { provide: APP_GUARD, useExisting: PermissionGuard },
     { provide: APP_GUARD, useExisting: SpecialPermissionGuard },