feat: 组织隔离（IRIS 单实例）与出料功能基础

本轮之前累积的未提交工作，一并固化：

- 组织隔离：同一份代码部署给不同部门只需改 config 的 ORG_DEPARTMENT 与
  MATERIAL_CATEGORY_PREFIX。过滤点在登录/人员列表/物料/MOM 出库单四处，
  全部服务端钉死，客户端传什么都放不大。
  ★ 物料必须用**前缀** LIKE，不能反推成 ILIKE '%IRIS%'：MOM 里 LICA 的物料是
  `LICA/<中文>`，而本部门分类树里另有 `IRIS/成品/LICA/…`（本就属于本部门），
  前缀匹配天然区分得开。
- MOM 出库单只读查询（直连 MOM 库）：不走 MOM 现成的 /outbound 接口 ——
  那个要 JWT + permission_required，且对非特权账号按 consumer_name 做行级
  隔离，服务账号只能拿到自己名下的单。分页必须两段式（先按单号 GROUP BY
  分页，再 IN 捞明细），对宽表直接分页会得到明细行数而不是单据数。
- 出料功能：产品 ↔ 出库单存档（product_outbounds）与任务 ↔ 出库明细
  （task_outbound_materials），供「这台设备对应 MOM 哪张单」的展示。
  ⚠️ 快照一律由后端拿 ID 去 MOM 现查，不接受前端传入，否则前端可伪造单据。

backend/app/api/v1/endpoints/materials.py

@@ -1,12 +1,26 @@
-"""物料选择器 — 读 MOM material_base，按成品/半成品 category 手风琴分组"""
+"""物料选择器 — 读 MOM material_base，按 category 手风琴分组（仅本部门）"""
 from fastapi import APIRouter, Query, HTTPException, status, Depends
 from pydantic import BaseModel
+from app.core.config import settings
 from app.core.mom_database import MomSessionLocal
 from app.services.auth_service import get_current_user
 from sqlalchemy import text
 
 router = APIRouter(prefix="/materials", tags=["物料选择"])
 
+# 部门隔离：只放行本部门 category 前缀（IRIS/…）。
+#
+# ⚠️ 必须用**前缀** LIKE，不能反推成 ILIKE '%IRIS%'：两套实例共用同一个 MOM 库，
+#    LICA 的物料是 `LICA/<中文>`（LICA/生产配件 687、LICA/销售产品 89、
+#    LICA/维修服务 16 …），而 IRIS 分类树里另有 `IRIS/成品/LICA/…`
+#    （野外便携 59 / 无人机 38 / 实验室内 34 / 高塔监测 30，共 171 条）——
+#    那是**挂在 IRIS 名下、给 LICA 做的成品**，本来就属于本部门。
+#    前缀匹配天然把前者排除、把后者包含，不需要再加特例。
+#
+# 另注：IRIS 的分类是多段式（`IRIS/半成品/无人机U`、`IRIS/原材料/光学/光电Opt1`），
+# 拿「成品/半成品」这类类型词过滤没有意义，一律走前缀。
+CATEGORY_PREFIX_LIKE = f"{settings.MATERIAL_CATEGORY_PREFIX}%"
+
 
 # ============================================================
 # 响应模型
@@ -38,7 +52,7 @@ def get_material_groups(
 ):
     """
     按 category 分组汇总，前端渲染手风琴外层。
-    只返回成品/半成品分类。
+    只返回本部门（ORG_DEPARTMENT）名下的分类。
     """
     db = MomSessionLocal()
     try:
@@ -47,23 +61,29 @@ def get_material_groups(
                 SELECT category, COUNT(*) AS count
                 FROM material_base
                 WHERE is_enabled = TRUE
+                  AND category LIKE :cat_prefix
                   AND (name ILIKE :kw OR spec_model ILIKE :kw)
                 GROUP BY category
                 ORDER BY category
             """)
-            result = db.execute(sql, {"kw": f"%{keyword.strip()}%"})
+            result = db.execute(
+                sql, {"cat_prefix": CATEGORY_PREFIX_LIKE, "kw": f"%{keyword.strip()}%"}
+            )
         else:
             sql = text("""
                 SELECT category, COUNT(*) AS count
                 FROM material_base
                 WHERE is_enabled = TRUE
+                  AND category LIKE :cat_prefix
                 GROUP BY category
                 ORDER BY category
             """)
-            result = db.execute(sql)
+            result = db.execute(sql, {"cat_prefix": CATEGORY_PREFIX_LIKE})
 
         rows = result.fetchall()
         return [MaterialGroup(category=row.category, count=row.count) for row in rows]
+    except HTTPException:
+        raise
     except Exception as e:
         raise HTTPException(
             status_code=status.HTTP_502_BAD_GATEWAY,
@@ -82,6 +102,10 @@ def get_material_items(
 ):
     """
     获取指定 category 下的物料条目，前端展开手风琴时懒加载。
+
+    这里同样要加部门前缀条件（纵深防御）：`category` 完全由客户端提供，
+    只靠 `category = :cat` 精确匹配的话，构造一个跨部门的 category 就能
+    把别的部门的物料捞出来。
     """
     db = MomSessionLocal()
     try:
@@ -91,13 +115,20 @@ def get_material_items(
                        COALESCE(unit, '') AS unit, is_enabled
                 FROM material_base
                 WHERE is_enabled = TRUE
+                  AND category LIKE :cat_prefix
                   AND category = :cat
                   AND (name ILIKE :kw OR spec_model ILIKE :kw)
                 ORDER BY name
                 LIMIT :lim
             """)
             result = db.execute(
-                sql, {"cat": category, "kw": f"%{keyword.strip()}%", "lim": limit}
+                sql,
+                {
+                    "cat_prefix": CATEGORY_PREFIX_LIKE,
+                    "cat": category,
+                    "kw": f"%{keyword.strip()}%",
+                    "lim": limit,
+                },
             )
         else:
             sql = text("""
@@ -105,11 +136,14 @@ def get_material_items(
                        COALESCE(unit, '') AS unit, is_enabled
                 FROM material_base
                 WHERE is_enabled = TRUE
+                  AND category LIKE :cat_prefix
                   AND category = :cat
                 ORDER BY name
                 LIMIT :lim
             """)
-            result = db.execute(sql, {"cat": category, "lim": limit})
+            result = db.execute(
+                sql, {"cat_prefix": CATEGORY_PREFIX_LIKE, "cat": category, "lim": limit}
+            )
 
         rows = result.fetchall()
         return [
@@ -124,6 +158,8 @@ def get_material_items(
             )
             for row in rows
         ]
+    except HTTPException:
+        raise
     except Exception as e:
         raise HTTPException(
             status_code=status.HTTP_502_BAD_GATEWAY,