[Security][P2] Data classification propagation + capability token

[EXboys]

Goal

为组合链路增加数据标签（PII/secret/code/internal）与短时能力令牌（最小权限 + 过期失效）。

Task checklist

• 设计数据分类标签与传递规则
• 在 tool/skill IO 上下文中附加标签
• 实现 capability token（scope + ttl + issuer）
• 高风险动作必须校验 token scope
• 令牌与审计日志关联（便于回放）

Acceptance criteria

• 标签可跨步骤传递并参与策略判断
• token 过期后高风险操作被拒绝
• 审计可定位 token 发放与使用链路

Dependencies

• Issue 7

Estimate

4 天