feat: add portfolio ownership model, auth guards, and migration

docs/technical/auth-and-token-lifecycle.md

@@ -1,6 +1,6 @@
 # Auth and Token Lifecycle
 
-- Related REQ: N/A
+- Related REQ: `REQ-004`
 
 ## 목표
 정적 토큰과 DB 발급 토큰을 병행하는 현재 인증 모델의 동작 기준을 명확히 한다.
@@ -13,6 +13,11 @@
 | `trade-write` | 조회 + 포트폴리오 변경 API |
 | `admin` | 전체 API + 사용자/봇 관리 |
 
+소유권 결합 정책:
+
+- `admin`이 아닌 주체는 포트폴리오 접근 시 리소스 소유주(`owner_user_id`) 일치 조건을 추가로 만족해야 한다.
+- `admin`은 소유권 제약 없이 전체 포트폴리오를 접근할 수 있다.
+
 ## 인증 방식
 
 - 보호된 API는 `Authorization: Bearer <token>` 헤더를 사용한다.