feat(tenant): implement tenant filter scope to manage cross-tenant data visibility

docs/api/appointment.md

@@ -547,6 +547,12 @@ Get all appointments for the authenticated user.
 
 **Permission:** `AUTH` — عمداً بدون مجوزِ رجیستری.
 
+> **فیلتر محیط اینجا اعمال نمی‌شود.** رکورد در محیطِ پزشکِ مقصد ثبت می‌شود، ولی
+> مالکش از راه `user_id` تعیین می‌شود. کاربری که خودش صاحب محیط دیگری است — پزشک،
+> منشی، مالک کلینیک — با فیلترِ محیطِ خودش رکورد خودش را نمی‌دید و ۴۰۴ می‌گرفت.
+> دورزدن فیلتر فقط از راه `App\Shared\Tenant\TenantFilterScope` انجام می‌شود و
+> مجوز دست‌نخورده باقی می‌ماند.
+
 > این اندپوینت `a.user = خودِ کاربر` را می‌دهد، یعنی نوبت‌های خودِ فرد **به‌عنوان
 > بیمار**، نه دادهٔ محیط. مصرف‌کننده‌اش داشبورد بیمار در `nobat724_front` است.
 > آدیت ۲۰۲۶-۰۸-۰۷ آن را در فهرست گَپ‌ها آورده بود؛ در ۲۰۲۶-۰۸-۰۸ مثبت کاذب تشخیص

docs/api/payment.md

@@ -131,6 +131,12 @@ List the **authenticated user's own** payments (derived from the token — there
 
 **Permission:** `IS_AUTHENTICATED_FULLY`
 
+> **فیلتر محیط اینجا اعمال نمی‌شود.** رکورد در محیطِ پزشکِ مقصد ثبت می‌شود، ولی
+> مالکش از راه `user_id` تعیین می‌شود. کاربری که خودش صاحب محیط دیگری است — پزشک،
+> منشی، مالک کلینیک — با فیلترِ محیطِ خودش رکورد خودش را نمی‌دید و ۴۰۴ می‌گرفت.
+> دورزدن فیلتر فقط از راه `App\Shared\Tenant\TenantFilterScope` انجام می‌شود و
+> مجوز دست‌نخورده باقی می‌ماند.
+
 ### Query Parameters
 | Param | Type | Default | Description |
 |-------|------|---------|-------------|
@@ -405,6 +411,12 @@ Get payment status and details.
 
 **Permission:** `AUTH` — must be the payment owner or `ROLE_ADMIN`
 
+> **فیلتر محیط اینجا اعمال نمی‌شود.** رکورد در محیطِ پزشکِ مقصد ثبت می‌شود، ولی
+> مالکش از راه `user_id` تعیین می‌شود. کاربری که خودش صاحب محیط دیگری است — پزشک،
+> منشی، مالک کلینیک — با فیلترِ محیطِ خودش رکورد خودش را نمی‌دید و ۴۰۴ می‌گرفت.
+> دورزدن فیلتر فقط از راه `App\Shared\Tenant\TenantFilterScope` انجام می‌شود و
+> مجوز دست‌نخورده باقی می‌ماند.
+
 ### Path Parameters
 | Param | Type | Description |
 |-------|------|-------------|