feat(identity): 完成 A2 角色权限与数据范围全栈落地

背景：A2 开卡前完成 H1 权限门，确认权限点目录、特殊权限、SoD 三对、六类数据范围与超管隐式全集口径（ADR-001）。

改动：
- shared：30 权限点 / 10 模块目录与元数据、特殊权限 6 编码、SoD 三对、角色与权限树契约；/me 改 dataScopes 多角色并集。
- prisma：expand 迁移新增 permissions / data_scopes；种子按原型口径重写角色权限、数据范围与 8 项特殊授予。
- api：角色 CRUD / 复制 / 停用 / 删除、权限点启动同步、SoD 40304、系统角色保护、六类范围 ScopeContext 与 CustomerDirectory 端口、变更审计与 outbox。
- web：方案 B 主从分栏三角色页面（列表 / 编辑器 / 新建），权限树、范围选择、特殊权限二次确认、保存影响、SoD 冲突、只读态与模板预填。
- 测试：角色集成 13 条 + A2 e2e 1 条；A1 全量回归。

验证：format:check / lint / typecheck / test（306）/ test:int（27）/ A2 e2e（1，复跑通过）/ openapi:export 全绿。

apps/api/src/common/security/security.module.ts

@@ -3,14 +3,20 @@ import { APP_GUARD, APP_INTERCEPTOR } from '@nestjs/core';
 import { JwtModule } from '@nestjs/jwt';
 
 import { AuditInterceptor } from './audit.interceptor';
+import { PermissionCatalogService } from './catalog/permission-catalog.service';
 import { JwtAuthGuard, PermissionGuard, ScopeGuard, SpecialPermissionGuard } from './guards';
 import { PermissionService } from './permission.service';
 import { RequestContextService } from './request-context';
+import { CUSTOMER_DIRECTORY, EmptyCustomerDirectory } from './scope/customer-directory';
+import { ScopeResolver } from './scope/scope-resolver.service';
 import { TokenService } from './token.service';
 
 /**
- * 全局安全能力：请求上下文（AsyncLocalStorage）、权限解析、JWT 与守卫链。
+ * 全局安全能力：请求上下文（AsyncLocalStorage）、权限解析、数据范围解析、JWT 与守卫链。
  * 守卫顺序：JwtAuthGuard → PermissionGuard → SpecialPermissionGuard → ScopeGuard。
+ *
+ * `CUSTOMER_DIRECTORY` 是客户目录端口：A2 注册空集实现，A3 落地 client 模块后替换 provider
+ * 即可让六类数据范围解析出真实客户集合，ScopeResolver / 守卫链无需改动。
  */
 @Global()
 @Module({
@@ -18,18 +24,27 @@ import { TokenService } from './token.service';
   providers: [
     RequestContextService,
     PermissionService,
+    PermissionCatalogService,
+    PermissionGuard,
+    ScopeResolver,
     TokenService,
     AuditInterceptor,
     JwtAuthGuard,
-    PermissionGuard,
     SpecialPermissionGuard,
     ScopeGuard,
+    { provide: CUSTOMER_DIRECTORY, useClass: EmptyCustomerDirectory },
     { provide: APP_GUARD, useExisting: JwtAuthGuard },
     { provide: APP_GUARD, useExisting: PermissionGuard },
     { provide: APP_GUARD, useExisting: SpecialPermissionGuard },
     { provide: APP_GUARD, useExisting: ScopeGuard },
     { provide: APP_INTERCEPTOR, useExisting: AuditInterceptor },
   ],
-  exports: [RequestContextService, PermissionService, TokenService],
+  exports: [
+    RequestContextService,
+    PermissionService,
+    PermissionCatalogService,
+    ScopeResolver,
+    TokenService,
+  ],
 })
 export class SecurityModule {}