docs(connection): align M1 to an independent MCP/API product

## Problem

Connection M1 当前权威文档和实施 DAG 仍包含 Agent Platform delegated 调用。团队已确认 Connection 必须独立实现和部署，并向 Connection Web、Codex 等客户端提供自己的 MCP/API；当前实现不考虑 Platform 调用。继续使用旧文档会重新引入已否决的跨系统依赖。

## Scope

- 固定 Connection 为独立产品、独立 `connection-web`、独立 MCP/API、独立数据库账号和独立部署单元。
- 固定直接调用链路：`Codex/client -> Connection OAuth -> Connection Principal/Grant -> Provider Action`。
- Connection 自己提供 OAuth Authorization Server、MCP/API、Catalog、Grant、ActionCall/Effect/Dispatch、审计和管理；LDAP 建立并复核稳定 Principal。
- BrowserSession 只用于 Connection Web；MCP/API 使用 Connection 签发和验证的客户端 OAuth token，两种凭据不能互换。
- Provider 外部账号和 Credential 完全归 Connection，客户端、模型和浏览器不能获得原始 Credential。
- 从当前 M1 删除 Platform Tool Gateway、delegated assertion、Platform Actor/workload、Platform policy 交集、Platform `catalog:read` credential 和 Platform DB Connection 投影。
- 保留 GitHub Pilot 的三项 Action、专用账号、private repository policy、幂等、撤权、未知结果和审计边界。
- 同步两份 PRD、工程 Spec、Connection HLD、必要 ADR，并重建 Connection-only Implementation Issue DAG。
- #402、#390-#399 和 #430 在新 DAG 审查完成前保持原状态；不自动恢复 #426 或历史分支。
- 本票只修改权威文档和实施规划，不修改运行代码、migration、部署或外部账号。

## Acceptance criteria

- [ ] **AC-1:** Connection PRD 将独立 Web 和 Direct MCP/API 定义为当前 M1 产品入口，不包含 Platform delegated 调用或 Platform 权威。
- [ ] **AC-2:** Agent Platform PRD 只声明 Connection 是独立外部系统；当前 M1 不调用、不代理也不复制 Connection 数据。
- [ ] **AC-3:** 工程 Spec 和 HLD 完整定义 Direct MCP/API OAuth、LDAP Principal、BrowserSession、客户端 token、Grant、Provider Action 和审计契约，且无 Platform Tool Gateway、assertion、Actor/workload 或 policy fence 残留。
- [ ] **AC-4:** 身份、授权、Credential 和调用数据只由 Connection 服务端解析；客户端不能提交权威 selector，跨用户路径 fail closed。
- [ ] **AC-5:** GitHub Pilot 的三项 Action、repository policy、幂等、撤权、未知结果和成功声明保持一致，Direct MCP/API 不扩大 Provider 范围。
- [ ] **AC-6:** 新 Connection-only DAG 为每张实施票指定唯一 Owner、Scope、AC、Validation、依赖和后续 `connection/m1` 目标；旧票被明确保留、替代或终止。
- [ ] **AC-7:** 文档链接、术语和数据归属一致，全部文档与仓库验证通过。

## Validation

- 扫描两份 PRD、工程 Spec、HLD 和 ADR 中的 Platform/delegated/Tool Gateway/Actor/workload/policy fence 残留。
- 审查 Direct MCP/API OAuth、BrowserSession、LDAP Principal、Grant、Credential 和三项 GitHub Action 的正负向契约。
- 核对 #402 及全部未完成 Connection 实施票，确保只有一套执行 DAG。
- 运行 Markdown lint/link checks、HLD boundary checks、workflow policy 和 `git diff --check`。

## Blocked by

None