[P1] Auditoria append-only no banco (RF17)

Origem: item #8 (P1) do backlog da auditoria do PRD em docs/auditoria-prd/2026-10-15-lacunas-prd.md (PR #74).

Lacuna: Auditoria append-only no banco (trigger/REVOKE)

Tipo: código. Por que esta prioridade: A cadeia só detecta; o PRD pede logs imutáveis.

Evidência e o que falta, por ID

RF17 (parcial): audit_logs encadeado por HMAC-SHA256; filtros, paginação, selo por linha e verificação global no servidor; exportação CSV só pelo admin, registrada na mesma transação; audit_chain_test.dart, admin_endpoint_audit_chain_test.dart e admin_endpoint_audit_export_test.dart passam; e2e scripts/qa/admin_auditoria_e2e.sh (2026-10-13/14). — falta: Cadeia só detecta adulteração: falta trigger/REVOKE append-only no banco (nenhum nas migrações); audit_exports fora da cadeia; o CSV vai pela área de transferência (apps/admin/lib/app/audit_log_screen.dart:389), sem download; revisão do DPO sobre a exportação.
STRIDE-R (parcial): Cadeia HMAC em audit_logs detecta remoção e alteração (audit_chain_check). — falta: Append-only no banco (trigger/REVOKE) não existe: ver RF17.

Medido em 2026-10-15 a partir de develop em 92106d1.