refactor(audit): 审计架构清理——复活白名单监听器、停用噪声监听器、清除僵尸装饰器

一、统一为单一监听器实现
  原先两套 SQLAlchemy 事件监听器并存：
    · app/utils/audit_events.py   —— 全局监听 db.Model、无白名单、无请求上下文守卫（实际在跑）
    · app/core/audit_listener.py  —— 白名单制、有守卫、有模型级开关（从未生效）
  后者失效的根因：注册代码写在 extensions.py 的 init_extensions() 内，
  而该函数全仓库只有定义、没有任何调用（create_app 直接内联调用 db.init_app 等）。

  现统一由 app/core/audit_listener.py 承担，并在 create_app() 中显式注册。
  extensions.py 的死函数 init_extensions 整体删除，避免后人误以为它是有效入口。

二、修复监听器三处致命缺陷（此前注册了也写不进数据）
  1. 事件回调第二个参数是 Connection，原代码却调用 Connection.add()（不存在），
     每次写日志都抛 AttributeError 并被 except 吞掉 → 改为 connection.execute()
  2. register_audit_listeners 从 app.models 批量 import 多个未导出的模型，
     ImportError 被上层 try/except 吞掉 → 改为按表名从 db.metadata 取模型
  3. 本项目有 31 处函数体内延迟导入模型（如 scrap.py 内部才 import ScrapApproval），
     一次性注册会静默漏表 → 增加 ensure_audit_listeners() 惰性补绑，
     并在模型预加载段补全审批单/BOM/采购等模型

三、强约束
  · WHITELIST_TABLES：仅 18 张核心业务表，系统表/草稿表/向量表不再自审
  · has_request_context() 守卫：系统初始化与后台定时任务不再产生 username=system 噪声
  · IGNORE_FIELDS 增加 password/password_hash/salt/token/secret/api_key（安全红线）
  · created_at 显式写 beijing_time()，与全系统时间口径一致

四、清除僵尸装饰器
  @audit_log 早已退化为直接透传的空壳（module/action 参数全被忽略，
  数据库中零星的中文 action 即其历史遗留产物），却仍挂在 38 处路由上。
  连同 13 个文件的 import 一并移除；audit_events.register_audit_events 改为空操作。

验证：应用上下文中的写操作不产生日志；HTTP 请求产生 5 条日志，
对象为业务单号（APR-SCRAP-... / SKU），模块中文，操作人真实，时间为北京时间。

inventory-backend/app/api/v1/transactions.py

@@ -1,6 +1,6 @@
 from flask import Blueprint, jsonify, request  # .material -> .base refactor checked
 from flask_jwt_extended import jwt_required, get_jwt_identity, get_jwt
-from app.utils.decorators import permission_required, audit_log, prevent_double_submit, is_privileged_viewer
+from app.utils.decorators import permission_required, prevent_double_submit, is_privileged_viewer
 from app.services.auth_service import AuthService
 from app.services.trans_service import TransService
 from app.services.borrow_service import BorrowApprovalService
@@ -71,11 +71,6 @@ def filter_item_by_permissions(item_dict, user_permissions, prefix='op_records')
 @trans_bp.route('/borrow', methods=['POST'])
 @jwt_required()
 @permission_required('op_borrow:operation')
-@audit_log(
-    module='借库管理',
-    action='新增',
-    get_target_name_fn=lambda: request.get_json().get('borrow_no') if request.get_json() else None
-)
 def create_borrow():
     data = request.get_json()
     try:
@@ -105,11 +100,6 @@ def scan_borrowed_item():
 @trans_bp.route('/return', methods=['POST'])
 @jwt_required()
 @permission_required('op_return:operation')
-@audit_log(
-    module='借库管理',
-    action='归还',
-    get_target_name_fn=lambda: request.get_json().get('borrow_no') if request.get_json() else None
-)
 def submit_return():
     data = request.get_json()
     # ★ 归还人存"姓名"，而非 JWT 数字 ID
@@ -125,11 +115,6 @@ def submit_return():
 @trans_bp.route('/borrow/scrap', methods=['POST'])
 @jwt_required()
 @permission_required('op_return:operation')  # 复用归还权限：能归还的库管即可报废
-@audit_log(
-    module='借库管理',
-    action='借库报废',
-    get_target_name_fn=lambda: request.get_json().get('reason') if request.get_json() else None
-)
 def scrap_borrow():
     """
     借库未归还直接报废（库管/主管操作）