feat(identity): 完成 A2 角色权限与数据范围全栈落地

背景：A2 开卡前完成 H1 权限门，确认权限点目录、特殊权限、SoD 三对、六类数据范围与超管隐式全集口径（ADR-001）。

改动：
- shared：30 权限点 / 10 模块目录与元数据、特殊权限 6 编码、SoD 三对、角色与权限树契约；/me 改 dataScopes 多角色并集。
- prisma：expand 迁移新增 permissions / data_scopes；种子按原型口径重写角色权限、数据范围与 8 项特殊授予。
- api：角色 CRUD / 复制 / 停用 / 删除、权限点启动同步、SoD 40304、系统角色保护、六类范围 ScopeContext 与 CustomerDirectory 端口、变更审计与 outbox。
- web：方案 B 主从分栏三角色页面（列表 / 编辑器 / 新建），权限树、范围选择、特殊权限二次确认、保存影响、SoD 冲突、只读态与模板预填。
- 测试：角色集成 13 条 + A2 e2e 1 条；A1 全量回归。

验证：format:check / lint / typecheck / test（306）/ test:int（27）/ A2 e2e（1，复跑通过）/ openapi:export 全绿。

e2e/README.md

@@ -2,10 +2,11 @@
 
 ## 现有用例
 
-| 文件                  | 说明                               | 默认是否执行      |
-| --------------------- | ---------------------------------- | ----------------- |
-| `smoke.spec.ts`       | A0 冒烟：登录、模块切换、403 / 404 | 是                |
-| `a1-identity.spec.ts` | A1-QA-01 账号生命周期（①–⑥）       | 否，需 `A1_E2E=1` |
+| 文件                  | 说明                                          | 默认是否执行      |
+| --------------------- | --------------------------------------------- | ----------------- |
+| `smoke.spec.ts`       | A0 冒烟：登录、模块切换、403 / 404            | 是                |
+| `a1-identity.spec.ts` | A1-QA-01 账号生命周期（①–⑥）                  | 否，需 `A1_E2E=1` |
+| `a2-roles.spec.ts`    | A2-QA-01 角色管理 / 权限三态 / SoD / 即时生效 | 否，需 `A2_E2E=1` |
 
 ## A1 账号生命周期用例
 
@@ -33,3 +34,28 @@ A1_E2E=1 pnpm exec playwright test e2e/a1-identity.spec.ts --reporter=list
 
 - 门控未开启（无 `A1_E2E=1`）时整文件 `test.skip`，`pnpm test:e2e` 与 CI 行为不变。
 - 若在 `vite preview`（4173）上执行，需把 API 的 `WEB_ORIGIN` 同时包含 `http://127.0.0.1:4173`，否则跨域请求被拦；本用例默认打 5173 dev，避免改动 API 配置。
+
+## A2 角色管理用例（A2-QA-01）
+
+覆盖一条完整旅程（真实 API + 真实 PG/Redis + 真实浏览器）：
+
+1. 管理员登录 → `/system/roles` → 新建角色（名称、2 个普通权限、数据范围「本部门」）→ 保存进入编辑器。
+2. 编辑器改权限点；授予特殊权限（`delivery:export` 开关）触发**二次确认**，保存前再确认一次（特殊权限双确认）。
+3. SoD 冲突：同时勾选 `script:write` × `script:review` → 顶部「命中职责互斥」拦截 + 底部「存在职责互斥，保存不可用」且保存按钮禁用；解除后恢复可保存。
+4. 用 API 断言**权限即时生效**：绑定用户同一 access token 的 `/me` 在下一次请求即包含 `user:view` 与 `delivery:export`，`GET /users` 由 403 → 200；`GET /roles/{id}` 的普通权限与特殊权限分桶正确。
+5. 权限三态（UI 侧）：该用户有 `user:view` 但无 `role:view`，访问 `/system/roles` 显示 403 页。
+6. 停用确认（勾选知晓 + 停用原因）→ 编辑器状态变「停用」；API 断言 `/me` 权限清空、`GET /users` 返回 403 `40301`；列表「停用」筛选下可见该角色且行内标记「停用」。
+7. 数据自建自清：`beforeAll` 按前缀清理上次异常中断的遗留角色/用户；`afterAll` 解绑并停用 `qa2.roles.*` 用户、删除 `A2E2E-角色-*` 角色（不停用 admin、不改 admin 密码）。
+
+### 前置与运行
+
+前置与 A1 相同（API `http://127.0.0.1:3000/api/v1`、Web `http://127.0.0.1:5173` 非 demo 会话、已 `db:reset` + seed）：
+
+```bash
+A2_E2E=1 pnpm exec playwright test e2e/a2-roles.spec.ts --reporter=list
+```
+
+- 门控未开启（无 `A2_E2E=1`）时整文件 `test.skip`，`pnpm test:e2e` / CI 行为不变。
+- 可选覆盖：`A2_E2E_BASE_URL`（缺省 `http://127.0.0.1:5173`）、`A2_E2E_API_BASE_URL`（缺省 `http://127.0.0.1:3000/api/v1`）、`A2_E2E_ACTOR_ACCOUNT` / `A2_E2E_ACTOR_PASSWORD`（缺省 `jiang.lan` / `QaE2eAdmin2026`，首跑用种子口令 `lingxi2026` 自动完成首登改密）。
+- 截图：`design/a2-ui-v1/shots/impl/e2e/`（`01-roles-list` … `11-roles-list-disabled`，共 11 张 1440×900）。
+- 说明：用户按 A1 口径只停用不删除（用户不可删）；角色在解绑后删除，可重复运行。