feat(identity): 完成 A1 身份认证与用户管理全栈落地

背景：
- 开发计划 A1 批次要求登录/刷新/登出、用户生命周期、路由与按钮权限、
  权限三态用例；视觉已选定方案 B（主从分栏 + 分屏登录）。

改动：
- packages/shared：新增 identity 契约（User/Me/Login/Refresh/Department/Role）
  与 user:view 权限点；写接口 strict 校验。
- apps/api：新增 identity 模块与 Prisma expand 迁移（departments/users/roles/
  user_roles/role_permissions/refresh_tokens）；Argon2id、JWT access+refresh
  旋转与 jti 吊销、登录失败锁定、首登强改、守卫链、/me、@Audit 上下文、幂等种子。
- apps/web：按方案 B 落地 /users、/users/new、/users/:id、分屏登录与 403；
  usePermission/<Can>、路由守卫、401 单飞刷新、停用会话兜底、Semi + token。
- e2e：新增 A1-QA-01 六类端到端用例（A1_E2E 门控）。
- openapi 与前端生成类型同步；.env.example 登记认证变量；实施报告入库。

影响面：
- 新增运行时依赖 @nestjs/jwt、argon2（计划 A1-BE-02 已批准，版本精确锁定）。
- 迁移为 expand，不改既有表；本地需 prisma migrate 后重新 seed。
- 平台导航「用户与组织」由 /platform/users 调整为 /users。

回滚方式：
- 代码整体回滚本提交；迁移为 expand，回滚代码不需删表；
- 本地如需彻底回退按实施报告 §6 处理。

验证证据：
- pnpm format:check / lint / typecheck 通过；
- pnpm test：shared 95 / api 60 / web 55；
- pnpm test:int：7 个（真实 PG/Redis）；
- A1_E2E=1 playwright test e2e/a1-identity.spec.ts：6/6；
- 报告：docs/开发计划/灵犀_A1身份认证与用户管理_实施报告_V0.1.md

apps/web/src/stores/auth-store.spec.ts

@@ -0,0 +1,88 @@
+import type { MeResponse } from '@lingxi/shared';
+import { beforeEach, describe, expect, it } from 'vitest';
+
+import { authUserFromMe, DEMO_USER, isDemoSession, useAuthStore } from './auth-store';
+
+const USER_ID = '01HZZZZZZZZZZZZZZZZZZZZZZ1';
+const ROLE_ID = '01HZZZZZZZZZZZZZZZZZZZZZZ2';
+const GROUP_ID = '01HZZZZZZZZZZZZZZZZZZZZZZ3';
+
+const me: MeResponse = {
+  user: {
+    id: USER_ID,
+    name: '沈知远',
+    phoneMasked: '133****0071',
+    account: 'shen.zhiyuan',
+    departmentId: GROUP_ID,
+    departmentName: '平台技术部',
+    groupId: null,
+    groupName: '部门直属',
+    roles: [{ id: ROLE_ID, code: 'super_admin', name: '超级管理员', isSystem: true }],
+    status: 'active',
+    lastLoginAt: '2026-11-02T10:02:00.000Z',
+    createdAt: '2026-09-01T00:00:00.000Z',
+  },
+  roles: [{ id: ROLE_ID, code: 'super_admin', name: '超级管理员', isSystem: true }],
+  permissions: ['user:view', 'user:manage'],
+  dataScope: { type: 'all' },
+  mustChangePassword: false,
+};
+
+describe('会话状态', () => {
+  beforeEach(() => {
+    window.localStorage.clear();
+    useAuthStore.getState().clearSession();
+  });
+
+  it('/me 同步用户、权限与首登改密标记', () => {
+    useAuthStore.getState().setSession({
+      accessToken: 'token',
+      refreshToken: 'refresh',
+      user: { id: USER_ID, name: '临时', account: 'tmp' },
+      permissions: [],
+    });
+    useAuthStore.getState().syncFromMe({ ...me, mustChangePassword: true });
+    const state = useAuthStore.getState();
+    expect(state.user?.name).toBe('沈知远');
+    expect(state.user?.roleName).toBe('超级管理员');
+    expect(state.permissions).toEqual(['user:view', 'user:manage']);
+    expect(state.mustChangePassword).toBe(true);
+
+    useAuthStore.getState().markPasswordChanged();
+    expect(useAuthStore.getState().mustChangePassword).toBe(false);
+  });
+
+  it('会话持久化与登出清理', () => {
+    useAuthStore.getState().setSession({
+      accessToken: 'token',
+      user: authUserFromMe(me),
+      permissions: me.permissions,
+    });
+    expect(window.localStorage.getItem('lingxi.auth.session')).toContain('token');
+    useAuthStore.getState().clearSession();
+    expect(window.localStorage.getItem('lingxi.auth.session')).toBeNull();
+    expect(useAuthStore.getState().user).toBeNull();
+  });
+
+  it('刷新令牌只更新 token，不动用户信息', () => {
+    useAuthStore.getState().setSession({
+      accessToken: 'old',
+      refreshToken: 'refresh-old',
+      user: authUserFromMe(me),
+      permissions: me.permissions,
+    });
+    useAuthStore.getState().setTokens({ accessToken: 'new', refreshToken: 'refresh-new' });
+    expect(useAuthStore.getState().accessToken).toBe('new');
+    expect(useAuthStore.getState().refreshToken).toBe('refresh-new');
+    expect(useAuthStore.getState().user?.id).toBe(USER_ID);
+  });
+
+  it('演示会话识别与演示权限写入', () => {
+    useAuthStore.getState().signInDemo();
+    const state = useAuthStore.getState();
+    expect(isDemoSession(state.accessToken)).toBe(true);
+    expect(state.user).toEqual(DEMO_USER);
+    expect(state.permissions.length).toBeGreaterThan(0);
+    expect(isDemoSession('real-token')).toBe(false);
+  });
+});