邀请成员加入 active 租户（owner/admin·CASL create）。
透传 BA 的请求头。
邮箱 + 角色载荷。
BA 邀请结果；角色不可挂载先 400，CASL 拒经 mapBaError 归一。
列出 active 租户的待处理邀请（全角色·CASL read）。
透传 BA 的请求头。
BA 邀请列表。
列出 active 租户的成员（全角色·CASL read）。
透传 BA 的请求头。
BA 成员列表。
移除成员（owner/admin·CASL delete）。
透传 BA 的请求头。
成员 id 载荷。
BA 移除结果；自移除等数据守卫拒经 mapBaError 归一。
更新成员角色（owner/admin·CASL update）。
透传 BA 的请求头。
成员 id + 新角色载荷。
BA 更新结果；角色不可挂载先 400，CASL/last-owner 拒经 mapBaError 归一。
租户成员/邀请管理门面（module-rbac-casl §2.3.1·甲裁严格拆）。
Remarks
新宪落点：授权裁决 =
@Can+ CASL（authorization-rules 单源·经 AuthorizationGuard 判定）， 数据操作 = BAauth.api.*服务端直调（认证·membership 数据域，不经被封堵的 BA 内置 org HTTP 面）。BA 服务端调用仍过其 membership/数据校验与 seats 配额 hook—— 门面是「授权在我、数据在 BA」的收口点，不是重实现。租户作用域路由：不豁免（S11 全局墙 fail-closed），guard 组合沿用 workspaces 先例。