feat(identity): 完成 A2 角色权限与数据范围全栈落地

背景：A2 开卡前完成 H1 权限门，确认权限点目录、特殊权限、SoD 三对、六类数据范围与超管隐式全集口径（ADR-001）。

改动：
- shared：30 权限点 / 10 模块目录与元数据、特殊权限 6 编码、SoD 三对、角色与权限树契约；/me 改 dataScopes 多角色并集。
- prisma：expand 迁移新增 permissions / data_scopes；种子按原型口径重写角色权限、数据范围与 8 项特殊授予。
- api：角色 CRUD / 复制 / 停用 / 删除、权限点启动同步、SoD 40304、系统角色保护、六类范围 ScopeContext 与 CustomerDirectory 端口、变更审计与 outbox。
- web：方案 B 主从分栏三角色页面（列表 / 编辑器 / 新建），权限树、范围选择、特殊权限二次确认、保存影响、SoD 冲突、只读态与模板预填。
- 测试：角色集成 13 条 + A2 e2e 1 条；A1 全量回归。

验证：format:check / lint / typecheck / test（306）/ test:int（27）/ A2 e2e（1，复跑通过）/ openapi:export 全绿。

packages/shared/src/schemas/identity.ts

@@ -307,22 +307,33 @@ export const dataScopeTypeSchema = z.enum(DATA_SCOPE_TYPES, {
 
 export type DataScopeType = z.infer<typeof dataScopeTypeSchema>;
 
-/** 数据范围解析结果：customerIds 仅「指定客户组 / 负责客户」等范围需要返回 */
+/**
+ * 数据范围（A2-BE-04）：
+ * - `type`：六类范围之一；
+ * - `targetIds`：角色配置时指定的授权对象（当前仅「指定客户组」用客户组 id，A3 前可为空）；
+ * - `customerIds`：解析后的可见客户集合（由 CustomerDirectory 端口解析，A3 前为空数组）。
+ *
+ * 角色详情返回角色声明的范围（带 targetIds）；`/me` 返回多角色并集解析结果（带 customerIds）。
+ */
 export const dataScopeSchema = z.object({
   type: dataScopeTypeSchema,
+  targetIds: z.array(ulidSchema).optional(),
   customerIds: z.array(ulidSchema).optional(),
 });
 
 export type DataScope = z.infer<typeof dataScopeSchema>;
 
-/** GET /me 响应：当前用户、角色、权限点集合、数据范围、是否需强制改密 */
+/**
+ * GET /me 响应：当前用户、角色、权限点集合、数据范围（多角色并集）、是否需强制改密。
+ * 超管的 dataScopes 固定为 `[{ type: 'all' }]`；其余角色按六类范围并集解析。
+ */
 export const meResponseSchema = z.object({
   user: userSummarySchema.extend({
     phone: phoneSchema.optional(),
   }),
   roles: z.array(roleSummarySchema),
   permissions: z.array(z.string().min(1, '权限点不能为空')),
-  dataScope: dataScopeSchema,
+  dataScopes: z.array(dataScopeSchema).min(1, '至少返回一个数据范围'),
   mustChangePassword: z.boolean(),
 });