WebSocket 鉴权 / 频道边界最小骨架
这页先把 viewer_role 和 channel 的最小可见边界固定下来。
当前先把 Founder / HR / Demo 三视图在实时频道上的最小边界 固定住，让 week5 的实时链开始有最小权限语言，而不只是频道和重连约定。
当前最小边界
先把谁能看哪些实时频道说清楚。
viewer_role：founder / hr / demo
founder：可看 executive-radar / diagnosis / risk-board / workspace
hr：只看 diagnosis / risk-board / workspace
demo：只看 workspace 的脱敏演示流
请求超出边界的 channel：当前直接返回 403
执行边界
这层已经补了最小 viewer_role 边界，但仍不是完整鉴权系统。
这层是最小 viewer_role 频道边界，不是完整登录态、token 校验或 ACL 系统。
先让频道可见范围和访问失败语义稳定下来，避免 WebSocket 继续只有“后面再补权限”。
后面如果继续往真实层推进，再补签名 token、durable cursor、订阅恢复策略和失败退避。