feat(web): add IwoooS coverage matrix

docs/security/IWOOOS-POSTURE-PROJECTION.md

@@ -38,6 +38,7 @@ IwoooS 首版只讀取或對齊以下已提交 evidence：
 6. 7 條 non-blocking lanes。
 7. evidence refs 與下一個高層 gate。
 8. 10 個既有前端資安相關頁面索引。
+9. 4 個前端資安責任面與 5 個重疊 / 衝突控制。
 
 ## 3.1 既有前端資安頁面整合
 
@@ -58,6 +59,25 @@ S2.10 將前端原本已存在的資安相關頁面收進 IwoooS，只作為 rou
 
 這些 route 仍保留原本功能與 owner 邊界；IwoooS 只提供可見索引，不把任何頁面升級成 scan、execute、repair、blocking gate、deploy approval 或 runtime authorization。
 
+## 3.2 覆蓋與邊界矩陣
+
+S2.11 將 10 個既有前端資安頁面分成四個責任面，讓使用者看懂「訊號在哪裡、人工控制在哪裡、治理稽核在哪裡、工程審查在哪裡」。
+
+| 責任面 | Route | 邊界 |
+|--------|-------|------|
+| 訊號與暴露面 | `/security-compliance`、`/security`、`/compliance`、`/alerts`、`/errors` | 顯示風險、事件、錯誤、UX audit 與合規訊號，不把 observation 直接升 blocking |
+| 人工控制邊界 | `/authorizations`、`/awooop/approvals` | 顯示 HITL / multi-sig / AwoooP approvals；不等於資安 runtime gate 已批准 |
+| 治理與稽核 | `/governance`、`/alert-operation-logs` | 顯示治理事件、SLO、補救佇列與操作日誌；audit event 不是執行授權 |
+| 工程審查 | `/code-review` | 顯示 AI Code Review pipeline；review 結果可產生 follow-up，不等於 deploy approval |
+
+重疊 / 衝突控制：
+
+1. IwoooS 保留原 route owner，不搬移資料寫入權。
+2. 覆蓋矩陣不得升級成 runtime gate。
+3. Code Review link 不等於 deploy approval。
+4. AwoooP approval 狀態不等於資安 approval decision record。
+5. 前端索引不得呼叫 Kali active scan 或 `/execute`。
+
 ## 4. 仍禁止
 
 IwoooS 不得提供下列輸出：