用户自助面端点（仅本人导出 / 本人删除，PIPL 正当通道，各挂 SessionGuard）。
暴露面收紧（module-users-surface-reduction·人裁甲）：原 POST /users・ GET /users・GET /users/:id 已删除——user 表无租户列，三路由为跨租户 PII 冗余危险面且全仓零消费方；管理员查全用户走治理面 /tenants/admin/users （PlatformOperatorGuard），建号正道收口 better-auth sign-up。
POST /users
GET /users
GET /users/:id
user
/tenants/admin/users
PIPL 右-erase：硬删当前用户（consent 匿名留存）。
由 SessionGuard 挂载的已认证主体。
PIPL 右-access：导出当前用户全部个人数据（凭据除外）。
四段聚合的个人数据导出体。
用户自助面端点（仅本人导出 / 本人删除，PIPL 正当通道，各挂 SessionGuard）。
Remarks
暴露面收紧（module-users-surface-reduction·人裁甲）：原
POST /users・GET /users・GET /users/:id已删除——user表无租户列，三路由为跨租户 PII 冗余危险面且全仓零消费方；管理员查全用户走治理面/tenants/admin/users（PlatformOperatorGuard），建号正道收口 better-auth sign-up。