Function decide 

pub fn decide(
    policy: &RbacPolicy,
    exempt_roles: &[String],
    ctx: Option<&Context>,
    model: &str,
) -> Option<ModelDecision>

核心判决：None = RBAC 不介入（无 ctx / internal / 豁免角色 / overlay 未覆盖 / enforce 未受管）。enforce 受管但 matched 为空 → Some（全 deny），这是 default deny 的承载点。