feat(identity): 完成 A1 身份认证与用户管理全栈落地

背景：
- 开发计划 A1 批次要求登录/刷新/登出、用户生命周期、路由与按钮权限、
  权限三态用例；视觉已选定方案 B（主从分栏 + 分屏登录）。

改动：
- packages/shared：新增 identity 契约（User/Me/Login/Refresh/Department/Role）
  与 user:view 权限点；写接口 strict 校验。
- apps/api：新增 identity 模块与 Prisma expand 迁移（departments/users/roles/
  user_roles/role_permissions/refresh_tokens）；Argon2id、JWT access+refresh
  旋转与 jti 吊销、登录失败锁定、首登强改、守卫链、/me、@Audit 上下文、幂等种子。
- apps/web：按方案 B 落地 /users、/users/new、/users/:id、分屏登录与 403；
  usePermission/<Can>、路由守卫、401 单飞刷新、停用会话兜底、Semi + token。
- e2e：新增 A1-QA-01 六类端到端用例（A1_E2E 门控）。
- openapi 与前端生成类型同步；.env.example 登记认证变量；实施报告入库。

影响面：
- 新增运行时依赖 @nestjs/jwt、argon2（计划 A1-BE-02 已批准，版本精确锁定）。
- 迁移为 expand，不改既有表；本地需 prisma migrate 后重新 seed。
- 平台导航「用户与组织」由 /platform/users 调整为 /users。

回滚方式：
- 代码整体回滚本提交；迁移为 expand，回滚代码不需删表；
- 本地如需彻底回退按实施报告 §6 处理。

验证证据：
- pnpm format:check / lint / typecheck 通过；
- pnpm test：shared 95 / api 60 / web 55；
- pnpm test:int：7 个（真实 PG/Redis）；
- A1_E2E=1 playwright test e2e/a1-identity.spec.ts：6/6；
- 报告：docs/开发计划/灵犀_A1身份认证与用户管理_实施报告_V0.1.md

apps/web/src/router.tsx

@@ -1,5 +1,11 @@
+/* eslint-disable react-refresh/only-export-components -- 路由配置模块，lazy 组件仅作为路由元素，不做热更新边界 */
+import { Permission } from '@lingxi/shared';
+import { PageSkeleton } from '@lingxi/ui';
+import { lazy, type ReactNode, Suspense } from 'react';
 import { createBrowserRouter } from 'react-router';
 
+import { RequireAuth } from '@/components/auth/RequireAuth';
+import { RequirePermission } from '@/components/auth/RequirePermission';
 import { AppLayout } from '@/layout/AppLayout';
 import { ForbiddenPage } from '@/pages/errors/ForbiddenPage';
 import { NotFoundPage } from '@/pages/errors/NotFoundPage';
@@ -7,6 +13,20 @@ import { ServerErrorPage } from '@/pages/errors/ServerErrorPage';
 import { UnauthorizedPage } from '@/pages/errors/UnauthorizedPage';
 import { ROUTES } from '@/routes';
 
+const UsersPage = lazy(async () => {
+  const module = await import('@/pages/users/UsersPage');
+  return { default: module.UsersPage };
+});
+
+const UserNewPage = lazy(async () => {
+  const module = await import('@/pages/users/UserNewPage');
+  return { default: module.UserNewPage };
+});
+
+function withSkeleton(node: ReactNode): ReactNode {
+  return <Suspense fallback={<PageSkeleton rows={8} />}>{node}</Suspense>;
+}
+
 export const router = createBrowserRouter([
   {
     path: ROUTES.login,
@@ -16,7 +36,11 @@ export const router = createBrowserRouter([
   },
   {
     path: '/',
-    element: <AppLayout />,
+    element: (
+      <RequireAuth>
+        <AppLayout />
+      </RequireAuth>
+    ),
     children: [
       {
         index: true,
@@ -24,6 +48,30 @@ export const router = createBrowserRouter([
           Component: (await import('@/pages/home/HomePage')).default,
         }),
       },
+      {
+        path: 'users',
+        element: (
+          <RequirePermission permission={Permission.USER_VIEW}>
+            {withSkeleton(<UsersPage />)}
+          </RequirePermission>
+        ),
+      },
+      {
+        path: 'users/new',
+        element: (
+          <RequirePermission permission={Permission.USER_MANAGE}>
+            {withSkeleton(<UserNewPage />)}
+          </RequirePermission>
+        ),
+      },
+      {
+        path: 'users/:id',
+        element: (
+          <RequirePermission permission={Permission.USER_VIEW}>
+            {withSkeleton(<UsersPage />)}
+          </RequirePermission>
+        ),
+      },
       {
         path: ':moduleKey/:itemKey?',
         lazy: async () => ({