澄清:无独立隔离策略,一切由数据范围控制;现状隔离=代码 where(tenant_id),
非 RLS/非 schema。brand 从 tenant_id 槽搬到 source_unit 槽后,品牌隔离的
where 判别列随之 tenant_id→source_unit。数据范围两粒度:plan 按诊所、
患者按品牌(source_unit),同源于 org 位置。默认本品牌(复刻现状),P1 可配置。

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>