M4: add trust, feedback and reputation system

[Gilbert243]

Verification

• ajoute le bounded context transversal trust sans déplacer accounts.VerificationDocument ni Organization.verification_status
• claims Profile/Space explicites, review plateforme, expiration dérivée et révocation auditée
• backfill conservateur des anciens statuts Organization pending/verified
• evidence privée réutilisant les validateurs d’upload existants

Feedback

• feedback canonique ancré à une Journey vérifiable
• dimensions contrôlées, sentiment/commentaire facultatifs, déduplication par Journey/auteur
• éligibilité multi-verticale depuis Journey/Occurrence/Access/Services

Reports

• catégories contrôlées, contexte explicite, lifecycle de triage/résolution
• evidence privée et règles d’accès serveur

Disputes

• parties explicites, investigation/demande d’information, décision et remedy
• aucune vérité financière parallèle ni mutation Payment directe

Reputation

• projections OperationalReliabilitySummary / public Trust summary sans score universel
• numérateurs, dénominateurs, période, source et seuil public d’échantillon
• reports non résolus et popularité exclus des signaux publics

Proofs

• attestations structurées liées à des faits canoniques
• émission idempotente, identifiant public opaque, visibilité explicite et révocation
• aucun listing public d’un Profile

Security

• nouvelles permissions space.trust.view, space.trust.manage, platform.trust.review
• Mandate reste l’autorité ; membership seule insuffisante
• IDOR contrôlé par services/selectors ; evidence servie via endpoint autorisé
• notes privées absentes des projections publiques et templates auto-échappés

Migrations

• additive trust/0001_initial
• additive authorization/0014_trust_permissions
• données historiques préservées ; aucun remplacement destructif

Tests

• Verification request/review/verify/reject/expiry/revoke/privacy
• Feedback eligibility/doublon/applicabilité/faits canoniques
• Report/Dispute permissions et lifecycle
• réputation contextuelle/query-bounded
• Proof eligibility/idempotence/revocation/public visibility
• XSS et données privées

Compatibilité

• M1/M2 inchangés
• M3 peut consommer les projections Trust mais M4 ne dépend pas du Presentation System
• Journey/Activity/Access/Services restent propriétaires de leurs faits
• Finance/Payment reste propriétaire de l’argent