Segurança (isolamento de scope no REST/MCP que realmente roda + fronteira
de confiança no render), proveniência nas três faces (?explain=true),
import MIF pessoal via REST, x-dna-ref + MER com guard, kernel entregando
o que a docstring afirma, baseline do Alembic recuperável, e a DI da
Session no CLI com o começo do split do sdlc_cmd.

Faixa interna: dna-cli exige dna-sdk>=0.22,<0.23 (minor novo).

Work-Item: Story/s-dna-shrink-faixa-1

Co-authored-by: Jefferson Barnabé <3090620+ruinosus@users.noreply.github.com>
Co-authored-by: dna-sdlc[bot] <302582850+dna-sdlc[bot]@users.noreply.github.com>