RAG 与访问控制 — 验证 ACL 先于排序、可回链引用与拒答兜底

把检索增强生成的四个工程约束钉死：ACL 过滤先于排序、召回率达标、回答可回链到 chunk、无证据时拒答而非编造。

→ 在第11章正文里查看完整命令、预期输出与故障注入