fix: 访问日志的 user 字段恒为 null —— 改用 request.state 跨 task 传递

上一提交(4454047)的 RequestContextMiddleware 通过 contextvar 读取 user，
但 Starlette 的 BaseHTTPMiddleware 用 anyio start_soon 把下游放进新 task
执行，而 asyncio 每个 Task 创建时会复制 context —— 路由内 set 的
contextvar 不会回流到中间件，导致访问日志的 user 永远是 null。

修复：
- get_current_user 同时写 contextvar（供请求任务内业务日志用）与
  request.state（由 ASGI scope 承载，跨 task 可见），并带上
  display_name / role 备用。
- 中间件 _log_access 改为优先读 request.state.audit_user。

验证（TestClient + 解析最终 JSON 输出，而非读 record 属性）：
- track.access 日志 user=zhangsan01（经 request.state）
- 请求任务内 track.service 日志 user=zhangsan01（经 contextvar）
- 两者 request_id 一致；X-Request-ID 透传正常

backend/app/core/middleware.py

@@ -54,6 +54,10 @@ class RequestContextMiddleware(BaseHTTPMiddleware):
         path = request.url.path
         duration_ms = round((time.perf_counter() - started) * 1000, 1)
 
+        # user 必须从 request.state 取：本中间件在独立 task 中执行，路由内
+        # 写入的 contextvar 不会回流到这里（详见 get_current_user 的说明）。
+        user = getattr(request.state, "audit_user", None) or user_var.get()
+
         if status_code >= 500:
             level = logging.ERROR
         elif status_code >= 400:
@@ -77,7 +81,7 @@ class RequestContextMiddleware(BaseHTTPMiddleware):
                     "status": status_code,
                     "duration_ms": duration_ms,
                     "client": request.client.host if request.client else None,
-                    "user": user_var.get(),
+                    "user": user,
                 }
             },
         )