docs(security): add approval state transition contract [skip ci]

docs/security/SECURITY-APPROVAL-GATE.md

@@ -17,7 +17,7 @@
 
 批准後最多只能進入下一步設計、草案、只讀 inventory、低噪音 scope 或人工 exception；任何真正 runtime action 都還需要後續 runtime gate。
 
-S3.1 開始，實際人工決策紀錄由 `security_approval_decision_record_v1` 保存。S3.2 開始，可用 `security_approval_review_packet_v1` 把 gate item 包成 review packet。Gate 定義可審項目與批准範圍；Review Packet 協助人工審查；Decision Record 保存決策結果與 audit evidence。
+S3.1 開始，實際人工決策紀錄由 `security_approval_decision_record_v1` 保存。S3.2 開始，可用 `security_approval_review_packet_v1` 把 gate item 包成 review packet。S3.3 開始，決策後 next state 由 `security_approval_state_transition_v1` 定義。Gate 定義可審項目與批准範圍；Review Packet 協助人工審查；Decision Record 保存決策結果與 audit evidence；State Transition 避免批准被誤解成執行。
 
 ## 1. 目前 Gate 狀態
 
@@ -53,6 +53,7 @@ S3.1 開始，實際人工決策紀錄由 `security_approval_decision_record_v1`
 5. 提醒哪些項目需要 follow-up runtime gate。
 6. 將決策結果寫成 `security_approval_decision_record_v1`，但維持 `execution_authorized=false`。
 7. 將 gate item 包成 `security_approval_review_packet_v1`，只顯示 review lane、required reviewers 與仍禁止事項。
+8. 依 `security_approval_state_transition_v1` 顯示 next state；`approve_scope` 仍只進入 waiting runtime gate。
 
 ## 4. AwoooP 不可做