docs: 交付收尾（README/Dockerfile/Makefile 对齐 + 移除迁移状态节）

- README 重写：两阶段架构、LDAP 读/GraphQL 写、部门索引组名、离职双确认、
  部署（起 LLDAP + Authelia 官方 lldap 模板 + 配 idsync + 构建运行）、命令、测试
- Makefile：test-integration 改指本地 LLDAP（3890/17170），新增 make lldap 起容器，
  头部注释更新为 LLDAP
- AGENTS.md：移除「迁移状态」节（迁移已完成，旧实现已删除/收敛）

AGENTS.md

@@ -47,18 +47,6 @@
 不触碰 IO。因此它们能被完整单测，且 **dry-run 与真正执行共用同一份代码**，预览即所得。
 改动它们时务必维持纯度，否则 dry-run 的可信度就没了。
 
-### 迁移状态（写代码前先对号入座）
-
-以下模块仍是 OpenLDAP 单阶段时代的旧实现，正在迁移到本文档描述的目标架构：
-
-- `internal/ldaplib/ops.go` 的写路径（Add/Modify/ModifyDN）、`internal/password`（SSHA）、
-  `config.yml` 的 `user-ou / inactive-ou / group-root-name / group-object-class /
-  group-member-attr / initial-password` 仍是旧概念，**迁移完成前不要把它们当目标行为**。
-- `internal/store` 现仅是轻量台账，尚未扩展为全字段镜像 + 部门关系表。
-- `internal/feishu` 尚无卡片发送能力，离职确认通道未落地。
-
-改代码时以本文档的硬约束为准，逐步把旧实现收敛到目标架构。
-
 ## 硬约束
 
 ### 1. 真相源层级：飞书唯一，SQLite 只镜像