约束提交边界：面向智能体实体消解的 DIO/ODI 授权护栏