v0.5.4: fix multi-company API — client_id validation, export isolation, 121 tests PASS

tests/api.js

@@ -973,11 +973,12 @@ async function cleanup() {
       }
     }
 
-    // O7: несуществующий ?client_id= → upsert-ит новую компанию (безопасно)
+    // O7: несуществующий ?client_id= → игнорируется, фоллбек на WZ01325 (безопасность)
     {
       const r = await req.get('/api/v1/entries?client_id=NONEXISTENT').set(bearer(tokenMulti));
-      log(r.status === 200, 'O7: GET ?client_id=NONEXISTENT → 200 (создаёт пустую компанию)', `status=${r.status}`);
-      log(json(r).entries?.length === 0, 'O7b: новая компания без записей');
+      log(r.status === 200, 'O7: GET ?client_id=NONEXISTENT → 200 (игнор, фоллбек)', `status=${r.status}`);
+      // NONEXISTENT не в allClientIds → фоллбек на WZ01325 → записи ЕСТЬ
+      log(json(r).entries?.length > 0, 'O7b: фоллбек на WZ01325 — записи есть');
     }
 
     // O8: admin передаёт ?client_id= → использует свою компанию (игнор)