feat(aihr): add experience library and community best answers as ask sources

- server-side employee position resolution (org snapshot) with hard
  position gate for EXPERIENCE/CASE sources; formal sources unaffected;
  unresolvable position fails closed to general-scope only
- merge published experiences (aihr_case_record, CASE_EXP) and moderated
  best answers (COMMUNITY, no submitter identity) into the citation pool
  as REFERENCE tier; auxiliary sources never alter formal answers and
  fail without breaking the main chain; grading re-grades ROUTE into
  GUIDANCE when only auxiliary evidence exists
- case recall endpoints enforce the same position gate
- moderator endpoint to promote a best answer into a CANDIDATE case
  record (idempotent via source_ref unique key, never auto-published)
- migration aihr_20260822_case_source_ref_and_best_answer_index_mysql8.sql
- COMMUNITY citations carry community-question:{id} in detailRef for
  direct navigation

AGENTS.md

@@ -59,7 +59,7 @@
 - 不要把三端概括成全模态：员工对练/每日题、问师傅和直通车反馈支持文字/语音，问师傅图片/视频只用于本次分析，案例传音频；候选面试支持文字/语音，资料可传文档/图片但图片不参与评分；主管写文字复盘/指派并回听录音。员工对练图像/视频情境、服务录像回放和方言正式验收仍未完成；语音继续复用 `services/speech.ts` 与 `/api/ai/asr`。
 - 问题榜奖励只记积分/学习学分，不得擅自增加现金、提现、预算或税务语义；选最佳答案和考试提交必须保持请求幂等。
 - 问师傅的未解决答案只有在本人先提交 `down` 反馈并再次确认后，才能由服务端重读本人查询审计和反馈创建 `PENDING` 问题榜条目；客户端不得提交改写答案、引用、身份或奖励，重复请求必须返回同一问题。正式学习任务与每日三题分开：材料只允许当前租户 `READY` 附件，任务保存材料版本、周期、起止时间和完成规则；`EXAM_PASS` 只能由关联考试通过完成，随机组卷只从已审核启用题库抽取并在发布时冻结来源和答案。
-- 案例与训练高分只进入经验候选；业务审核不等于正式发布。正式经验必须另行确认来源授权、脱敏、适用岗位、负责人、版本和生效期后进入 `PUBLISHED`，员工只可召回当前生效的正式经验；下线后立即停止员工召回。案例、成果投稿和知识空间不得自动互写。
+- 案例与训练高分只进入经验候选；业务审核不等于正式发布。正式经验必须另行确认来源授权、脱敏、适用岗位、负责人、版本和生效期后进入 `PUBLISHED`，员工只可召回当前生效的正式经验，且经验/案例类证据按服务端解析的在职岗位硬过滤（空适用范围通用，岗位解析不到仅通用可见，形式制度不受影响）；下线后立即停止员工召回。问题榜最佳答案可由 moderator 经 `POST /api/aihr/question-admin/answers/{answerId}/to-case-candidate` 幂等转为 `CANDIDATE` 经验候选（`source_type=COMMUNITY_QA`、`source_ref` 存回答 ID、`source_authorized/deidentified` 保持 0），正式发布仍走同一人工确认链。案例、成果投稿和知识空间不得自动互写。
 - 全网 AI 与企业问师傅必须分入口、分来源和分免责声明；提供方仅允许公网 HTTPS，修改地址/密钥后必须连接测试成功才能启用，未配置时明确不可用且不生成假答案。
 - 多租户知识平台的有效范围是“租户 + 调用应用绑定 + 主体授权”的交集；不信任客户端传入身份，API_TOKEN 不得进入浏览器或小程序包。生产排序规则以 `aihr_knowledge_info.tenant_id` 为基准，新表最后执行 `aihr_20260718_release_collation_compat_mysql8.sql`。
 - 移动端首页接口：`GET /api/aihr/mobile/home/{role}`，当前 `@SaIgnore` 公开只读 seed，用于 H5 首屏 API 优先 + 本地 fallback；后续确定小程序登录后再接移动端 token，不复用管理后台登录态。