Enforce Check Endpoint

Laufzeit-Check fuer constraint_mode=enforce. Mandat und Transaktion kommen im Request.

Der Kern (app/enforcement/enforce_check.py) liest keine Datenbank und haelt keinen Zustand: das Verdikt haengt ausschliesslich an mandate + transaction. Wer beide hat, rechnet den core_digest ohne diesen Server nach.

Fail-closed: fehlt ein gueltiges Mandat, ist die Antwort DENY — nicht 4xx und nicht ein stiller Durchlauf. Der Aufrufer bekommt in beiden Faellen einen Record.

Jeder Grant traegt type_fields (Pflicht, enthaelt "verb") und deklariert damit, woraus die Aktion besteht. transaction.action muss ein Objekt sein und genau diese Schluessel tragen; Empfaenger und Betrag bleiben Geschwister der Aktion und laufen ueber Constraints.