feat: organize places and device workspaces with scoped heritage records

ARCHITECTURE.md

@@ -98,3 +98,16 @@
 区域以 `parentId` 邻接表表示，创建/移动时在写锁内检查父节点归属、有效性与祖先循环。父链和后代集合均迭代计算，避免递归栈形成层数限制。用户的 `includeSubspaces` 默认关闭；开启后按当前区域树实时扩展 `siteIds`。修改该授权开关会撤销已有会话。人员归属是文本档案，不参与权限计算。
 
 新增接口：`POST /api/devices` 保存通用设备（要求当前归属管理员）；`POST /api/device-view` 保存当前归属默认分组顺序。统一状态的 `devices` 数组也经过归属和成员区域过滤。
+
+
+## 场所、设备上下文与传承（v0.1.24）
+
+`steward.js` 管理入口和当前设备上下文。根入口是归属列表；进入归属后才展示内部导航。`deviceCameras` 按摄像头 `assetId` 或录像机关联字段 `recorderId` / `archiveRecorderId` 选择已有授权通道，不推断不存在的镜头。通用设备没有视频页签。前端上下文缩小显示范围，后端的家庭与区域授权始终独立执行。
+
+`heritage.py` 通过 `GET /api/heritage` 和 `POST /api/heritage` 维护 `heritage_entries`，kind 为 culture 或 asset，只允许 home 类归属。写入在全局写锁内检查归属、编辑权限、不可变类别和每条档案的 revision。关联设备需要同归属，普通编辑者还须具备该设备区域权限。文字统一转义；外链限定无嵌入凭据的 HTTP/HTTPS，浏览器用 noopener/noreferrer 打开，不由服务器抓取。
+
+`heritageAccess` 独立于 `familyAccess`，普通账号默认 none，read 只能读，edit 可创建、编辑及归档；管理员限定于其管理归属，超级管理员可明确切换归属。权限改变撤销现有会话。新表无默认真实资料；旧账户未补写该字段也按 none 处理。
+
+前端 `heritage.js` 用独立请求代次防止晚返回的数据覆盖其他页面；退出、切换家庭清空资料和表单。更新使用修订号防并发，归档可恢复；目前保留当前版本及最近修改人、时间，不保存该档案的逐次历史快照。所有人、保管人、意向接收人均是档案文本，不是认证标识，不参与权限或所有权计算。
+
+当前架构边界：非超级管理员一账号一归属；财产记录与系统角色交接是独立流程；通用设备登记不代表支持控制；录像机既有历史录像仍需品牌适配。未来多归属成员表与正式交接流程须先完成明确授权模型，再扩展数据结构。