feat(identity): 完成 A2 角色权限与数据范围全栈落地

背景：A2 开卡前完成 H1 权限门，确认权限点目录、特殊权限、SoD 三对、六类数据范围与超管隐式全集口径（ADR-001）。

改动：
- shared：30 权限点 / 10 模块目录与元数据、特殊权限 6 编码、SoD 三对、角色与权限树契约；/me 改 dataScopes 多角色并集。
- prisma：expand 迁移新增 permissions / data_scopes；种子按原型口径重写角色权限、数据范围与 8 项特殊授予。
- api：角色 CRUD / 复制 / 停用 / 删除、权限点启动同步、SoD 40304、系统角色保护、六类范围 ScopeContext 与 CustomerDirectory 端口、变更审计与 outbox。
- web：方案 B 主从分栏三角色页面（列表 / 编辑器 / 新建），权限树、范围选择、特殊权限二次确认、保存影响、SoD 冲突、只读态与模板预填。
- 测试：角色集成 13 条 + A2 e2e 1 条；A1 全量回归。

验证：format:check / lint / typecheck / test（306）/ test:int（27）/ A2 e2e（1，复跑通过）/ openapi:export 全绿。

apps/web/src/routes.ts

@@ -12,6 +12,9 @@ export const ROUTES = {
     users: '/system/users',
     userNew: '/system/users/new',
     userDetail: '/system/users/:id',
+    roles: '/system/roles',
+    roleNew: '/system/roles/new',
+    roleDetail: '/system/roles/:id',
   },
   unauthorized: '/401',
   forbidden: '/403',
@@ -26,6 +29,9 @@ export type RoutePath =
   | typeof ROUTES.system.users
   | typeof ROUTES.system.userNew
   | typeof ROUTES.system.userDetail
+  | typeof ROUTES.system.roles
+  | typeof ROUTES.system.roleNew
+  | typeof ROUTES.system.roleDetail
   | typeof ROUTES.unauthorized
   | typeof ROUTES.forbidden
   | typeof ROUTES.notFound
@@ -36,6 +42,18 @@ export function userDetailPath(userId: string): string {
   return `${ROUTES.system.users}/${encodeURIComponent(userId)}`;
 }
 
+/** 角色详情 / 编辑器深链：`/system/roles/{id}` */
+export function roleDetailPath(roleId: string): string {
+  return `${ROUTES.system.roles}/${encodeURIComponent(roleId)}`;
+}
+
+/** 新建角色深链；带来源角色时作为复制模板预填（特殊权限不随复制带入） */
+export function roleNewPath(sourceRoleId?: string): string {
+  return sourceRoleId === undefined
+    ? ROUTES.system.roleNew
+    : `${ROUTES.system.roleNew}?from=${encodeURIComponent(sourceRoleId)}`;
+}
+
 /**
  * 校验回跳地址：只允许站内绝对路径（以单个 `/` 开头），
  * 拒绝协议相对地址（`//evil.com`）与外部 URL，避免开放重定向。