feat(gateway): 护栏拦截事件落库 + 安全事件流（T4.B）

- store.GuardrailEvent 表(sundynix_guardrail_event) + AppendGuardrailEvent/ListGuardrailEvents
- middleware.Guardrail(db)：命中 blocked/suspect 时 best-effort 落库
  (actor/kind/reason/signals/method/path/ip，独立超时 ctx)
- GET /api/v1/admin/guardrail-events：安全事件流(倒序，翻页)
- store.clampPage 抽出分页归一(audit/guardrail 共用)
- live：注入 "ignore all previous instructions" → 422 硬拦 + 事件留痕(kind=blocked)
- DEPTH_ROADMAP T4.B 护栏事件打勾

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

sundynix-gateway/internal/router/router.go

@@ -25,7 +25,7 @@ func New(db *store.Postgres, cache *store.Redis, bus *nats.Bus, blobStore *blob.
 	r.Use(cors())                                 // 桌面端/浏览器跨源访问
 	r.Use(middleware.RateLimit(cache))
 	r.Use(middleware.Auth())      // 解析 Bearer JWT，注入已验证 userID（非阻断）
-	r.Use(middleware.Guardrail()) // Harness: Input Guardrail
+	r.Use(middleware.Guardrail(db)) // Harness: Input Guardrail（命中落库 guardrail_event）
 
 	h := handler.New(db, cache, bus, blobStore)
 
@@ -96,7 +96,8 @@ func New(db *store.Postgres, cache *store.Redis, bus *nats.Bus, blobStore *blob.
 			admin.PUT("/pricing", h.SavePricing) // 设置某模型输入/输出单价
 			admin.GET("/status", h.AdminStatus)      // 服务状态：基建/服务探活 + MCP 工具注册
 			admin.GET("/overview", h.AdminOverview)  // 系统级聚合：全平台用户/任务/评测/模型态/提示词态/健康
-			admin.GET("/audit", h.AuditList)         // 敏感操作审计流（倒序，翻页）
+			admin.GET("/audit", h.AuditList)                  // 敏感操作审计流（倒序，翻页）
+			admin.GET("/guardrail-events", h.GuardrailEvents) // 护栏命中安全事件流（倒序，翻页）
 		}
 	}
 	return r