feat: add compliant data connectors and lineage

- add authorized nine-source crawler connectors with security controls and packaged schemas
- add the school internship contract to the vendor data standard center
- add bidirectional campus data-to-report lineage with gap ownership and remediation

Co-authored-by: factory-droid[bot] <138933559+factory-droid[bot]@users.noreply.github.com>

admin-tools/demo/PRODUCTION_ARCHITECTURE.md

@@ -62,6 +62,16 @@ parse(snapshot)          解析为来源 Schema
 health()                 返回入口可达性、延迟和错误分类
 ```
 
+参考实现位于 [`../crawler/`](../crawler/)，逐来源接入方式和授权门禁见 [`../../docs/crawler-source-implementation.md`](../../docs/crawler-source-implementation.md)。连接器运行时必须遵守以下硬约束：
+
+- 所有外部来源默认禁用，只有来源审批状态为 `approved` 才允许公网运行；
+- 商业平台仅接入官方合作 API 或授权数据包，不实现登录自动化、验证码处理、私有接口逆向和反自动化规避；
+- 公开页面任务同时执行书面授权、robots.txt、域名 allowlist、公共地址解析和来源级限速检查；
+- 重定向后的每个 URL 重新执行相同安全校验，禁止访问回环、内网、链路本地和云元数据地址；
+- User-Agent 必须标识本系统并提供真实技术联系邮箱，不伪装普通浏览器；
+- Authorization、Cookie 和签名密钥只从 Vault/KMS 引用注入，不写入任务、Raw、日志或异常；
+- 登录页、验证码、安全验证、访问封禁和结构变化均触发停止或隔离，不尝试绕过。
+
 连接器发布物必须包含：
 
 - 代码仓库、语义版本、提交摘要和构建镜像摘要；
@@ -221,6 +231,7 @@ ISSUE / WORK_ORDER
 ## 9. 安全与运维
 
 - 源端凭据使用 Vault/KMS 管理，配置和日志只保存密钥引用；
+- 来源授权、条款与 robots 快照作为连接器发布证据；授权到期自动停止调度；
 - 采集节点使用独立网络出口策略与最小权限；
 - 控制台操作采用 RBAC，并区分运营、开发、发布审批和审计；
 - 原始对象启用版本、对象锁和生命周期；