feat(identity): 补齐部门管理（两级组织树、停用启用）

背景：
- A1 只实现了部门树读取与新建 / 改名接口，没有部门管理入口，
  负责人、排序、停用状态都无法维护；
- 用户必须关联部门，部门无法维护会让 A2 的数据范围缺少组织基础。

改动：
- shared：DepartmentNode 增加 status / sortOrder / directMemberCount；
  新增 createDepartmentInput / updateDepartmentInput / departmentTreeQuery 契约；
- api：GET /departments/tree?include_disabled；POST/PATCH /departments
  （名称 / 负责人 / 排序）；POST /departments/{id}/disable|enable；
  只停用不删除，有在职成员 / 启用子部门 / 下级在职成员时禁止停用；
  新建 / 编辑用户校验部门必须启用；@Audit 与 OpenAPI 同步；
- web：管理中心新增「部门管理」/system/departments，左两级组织树 +
  右详情 / 内联编辑 + 新建部门/小组 + 停用启用二次确认；显示已停用、
  ?id= 选中可恢复、无 user:manage 只读；用户页部门选择仍只取启用部门；
- 测试：shared 契约、api 单测 + int、web 树/表单/接口单测同步。

影响面：
- 新增部门写接口与页面；GET tree 默认仍只返回启用部门，对用户页无破坏；
- 权限复用 user:view / user:manage，不新增权限点；
- 无数据库迁移（status / leader_user_id / sort_order 列已存在）。

回滚方式：
- 回滚本提交即移除部门管理页与写接口，保留原只读树；数据库无需回滚。

验证证据：
- pnpm format:check / lint / typecheck 全绿；
- pnpm test：shared 121 / api 90 / web 120；test:int 4 files / 33 tests；
- pnpm openapi:diff：无破坏性变更；
- 真实 API + 浏览器（jiang.lan）：新建一级部门 / 小组、改名、停用空小组、
  重名 40903、树/详情/停用确认均正常；
  截图 design/a1-ui-v1/shots/impl/70-departments.png。

openapi/lingxi.openapi.json

@@ -226,8 +226,22 @@
     },
     "/api/v1/departments/tree": {
       "get": {
+        "description": "memberCount 含下级成员、directMemberCount 仅本部门直属成员；默认只返回启用部门，管理页传 include_disabled=true",
         "operationId": "DepartmentsController_tree",
-        "parameters": [],
+        "parameters": [
+          {
+            "name": "include_disabled",
+            "required": false,
+            "in": "query",
+            "schema": {
+              "enum": [
+                "true",
+                "false"
+              ],
+              "type": "string"
+            }
+          }
+        ],
         "responses": {
           "200": {
             "description": ""
@@ -238,7 +252,7 @@
             "bearer": []
           }
         ],
-        "summary": "部门树（两级，含成员数与负责人）",
+        "summary": "部门树（两级）",
         "tags": [
           "identity-departments"
         ]
@@ -246,7 +260,7 @@
     },
     "/api/v1/departments": {
       "post": {
-        "description": "最多两级，在小组下新建返回 42201",
+        "description": "最多两级；父级必须启用；负责人必须是启用用户；同级重名返回 40903",
         "operationId": "DepartmentsController_create",
         "parameters": [],
         "responses": {
@@ -267,7 +281,8 @@
     },
     "/api/v1/departments/{id}": {
       "patch": {
-        "operationId": "DepartmentsController_rename",
+        "description": "上级关系创建后不可移动；负责人必须是启用用户",
+        "operationId": "DepartmentsController_update",
         "parameters": [],
         "responses": {
           "200": {
@@ -279,7 +294,49 @@
             "bearer": []
           }
         ],
-        "summary": "部门改名",
+        "summary": "更新部门（名称 / 负责人 / 排序）",
+        "tags": [
+          "identity-departments"
+        ]
+      }
+    },
+    "/api/v1/departments/{id}/disable": {
+      "post": {
+        "description": "本部门仍有在职成员、或一级部门存在启用中的下级小组 / 下级在职成员时返回 42201；已停用返回 40903",
+        "operationId": "DepartmentsController_disable",
+        "parameters": [],
+        "responses": {
+          "200": {
+            "description": ""
+          }
+        },
+        "security": [
+          {
+            "bearer": []
+          }
+        ],
+        "summary": "停用部门",
+        "tags": [
+          "identity-departments"
+        ]
+      }
+    },
+    "/api/v1/departments/{id}/enable": {
+      "post": {
+        "description": "上级必须启用；已启用返回 40903",
+        "operationId": "DepartmentsController_enable",
+        "parameters": [],
+        "responses": {
+          "200": {
+            "description": ""
+          }
+        },
+        "security": [
+          {
+            "bearer": []
+          }
+        ],
+        "summary": "启用部门",
         "tags": [
           "identity-departments"
         ]