[lint] Escalate approval-role-not-membership-tier from warning to error once downstream migration completes

[os-zhuang]

#2738 引入的 approval-role-not-membership-tier 目前是 warning:{ type: 'role', value: '<非 membership tier>' } 在运行时必然路由不到人(请求卡死),从"要么 gate 要么不存在"(ADR-0049 / ADR-0090 D7)的口径看应该是 error——但在 hotcrm 等下游完成迁移(#2777)之前升级会把它们的发布直接打红,所以先保持 warning。

待办(被 #2777 阻塞)

• [downstream/hotcrm] Migrate approval approvers from { type: 'role' } to { type: 'position' } (ADR-0090 D3) #2777 完成、下游 os lint 无该告警后,把 packages/lint/src/validate-approval-approvers.ts 中该规则 severity 升为 error(os compile 即 gate)
• 评估 approval-approver-type-unknown 是否同步升级(off-spec 的 business_unit/bu 方言在 expandApprovers 里仍被容忍,属 PD Add comprehensive test suite for Zod schema validation #12 债务——升 error 前先决定运行时方言分支去留,避免"lint 禁止但运行时支持"的分裂)
• approval-escalation-reassign-no-target(feat(approvals): SLA escalateTo resolves positions via sys_user_position (ADR-0090 D3 follow-up) #2767)保持 warning(合法退化,非必然故障)
• 更新规则文件头部表格与 changeset(breaking changeset 需带 FROM→TO 迁移说明)

备注

自定义 better-auth membership tier 理论上合法(sys_member.role 是自由字符串)。升 error 时如有真实场景,提供豁免机制(如已知 tier 白名单可配置)再落地。

Refs: #2738, #2767, #2777, ADR-0049, ADR-0090 D7。