feat(rbac): 落地角色权限模型（需求 7）——班级/人员/名单/成绩收紧到管理员，班主任管本班课表，科任仅作业·叫人·通知

## 权限矩阵（前后端共用一份）

- 新增 `packages/shared/src/permissions.ts`：`ClassRole`（ADMIN/HEAD/SUBJECT/STUDENT/NONE）、
  `resolveClassRole()`、`canManageClasses/AssignTeachers/Roster/Schedule/Courses/PublishContent/ManageGrades/Import`
  与 `PERMISSION_MATRIX`（README 与验收脚本据此展开）。
- 后端 `lib/access.ts`：新增 `resolveUserClassRole()`（`Class.teacherId` → 班主任，`ClassTeacher` → 科任）
  与 `assertCanManageClasses/AssignTeachers/Roster/Schedule/PublishContent/ManageGrades`；
  各 service 在**服务层**断言（路由仅做角色过滤），越权统一 403。
- 收紧项：班级增删改、班主任/科任分配、学生名单与账号 → 仅 ADMIN；
  课表/课程增删改 → ADMIN 或本班班主任；成绩录入/修改/批量 → 仅 ADMIN（按需求清单）；
  作业/通知/叫人 → ADMIN、班主任、科任皆可。
- 读权限保持不变：教师仍可查看自己班级的课表/作业/通知/成绩列表与统计。

## 前端按同一矩阵隐藏入口

- 侧边栏：教师端不再显示「班级管理 / 学生管理 / 成绩录入」（管理员仍是 7 项）。
- 班级页：新建/编辑/删除按钮仅管理员可见；课表页：增删改按钮仅"管理员或本班班主任"可见；
  成绩页：录入/批量/删除按钮仅管理员可见。
- **叫人入口调整**：教师需要叫人，而「学生管理」是管理员专属，因此教师入口移到
  「通知发布 → 叫人」（选班级 → 选学生 → 快捷短语/自定义消息；名单走 `/classes/:id/students`，
  不使用管理员专属的 `/students`）；管理员在学生管理页仍保留逐行「叫人」。

## 顺手修掉的两个真实缺陷

- `NotificationsView.openCreate()`：班级列表异步加载期间点「发布通知」会导致「目标班级」为空、
  校验失败且**静默不发布**；现在打开弹窗前会确保班级已加载（冒烟同步等待下拉就绪）。
- `desktop-client/scripts/smoke.mjs`：上一次冒烟被强杀后配置目录仍被句柄占用，`rmSync` 报 ENOTEMPTY
  直接让冒烟启动失败；改为按进程号使用独立目录并容错清理。

## 验证

- `pnpm verify:e2e` **82/82** ✅：新增 14 项角色权限断言（班主任/科任建班被拒、班主任删班被拒、
  班主任/科任分配人员被拒、管理员分配与取消成功、科任管理课表被拒、科任可布置作业、
  科任/班主任录入成绩被拒、管理员录入成功），并把历史用例中"仅管理员可执行"的操作切到管理员令牌。
- `pnpm verify:web` **17/17** ✅：新增「教师端隐藏无权入口」断言（可见菜单=仪表盘/课表/作业/通知，
  越权入口=[]），叫人入口改到通知页后仍验证弹窗、8 条快捷短语、自定义输入与可选中态。
- `pnpm verify:desktop` **34/34** ✅；`lint` / `format:check` / `typecheck` 全绿。
- 数据清理：清掉历史遗留的测试班级与 4 条探针课表，演示数据恢复为 3 个班级。

packages/shared/src/permissions.ts

@@ -0,0 +1,93 @@
+import type { UserRole } from './types.js';
+
+/**
+ * 班级内的角色（相对"某一个班级"而言）。
+ *
+ * - `ADMIN`   系统管理员：班级增删改、人员分配、全部数据
+ * - `HEAD`    班主任（`Class.teacherId`）：本班课表 + 作业/通知/叫人
+ * - `SUBJECT` 科任老师（`ClassTeacher`）：仅作业/通知/叫人
+ * - `STUDENT` 学生（个人账号或班级账号）：只读
+ * - `NONE`    与该班级无关
+ */
+export type ClassRole = 'ADMIN' | 'HEAD' | 'SUBJECT' | 'STUDENT' | 'NONE';
+
+export interface ClassRoleContext {
+  role: UserRole;
+  /** 是否是该班班主任（Class.teacherId === 当前用户） */
+  isHeadTeacher?: boolean;
+  /** 是否被分配为该班科任/协作老师（ClassTeacher 中存在当前用户） */
+  isSubjectTeacher?: boolean;
+}
+
+/** 依据账号角色与该班归属关系，解析出班级内角色 */
+export function resolveClassRole(context: ClassRoleContext): ClassRole {
+  if (context.role === 'ADMIN') return 'ADMIN';
+  if (context.role === 'TEACHER') {
+    if (context.isHeadTeacher) return 'HEAD';
+    if (context.isSubjectTeacher) return 'SUBJECT';
+    return 'NONE';
+  }
+  if (context.role === 'STUDENT') return 'STUDENT';
+  return 'NONE';
+}
+
+/** 班级本身（创建/修改/删除）与人员分配：仅管理员 */
+export function canManageClasses(role: UserRole): boolean {
+  return role === 'ADMIN';
+}
+
+/** 班主任与科任老师名单的编辑：仅管理员 */
+export function canAssignTeachers(role: UserRole): boolean {
+  return role === 'ADMIN';
+}
+
+/** 学生名单（增删学生、重置密码、导入名单）：仅管理员 */
+export function canManageRoster(role: UserRole): boolean {
+  return role === 'ADMIN';
+}
+
+/** 课表管理：管理员或本班班主任（科任老师不可以） */
+export function canManageSchedule(classRole: ClassRole): boolean {
+  return classRole === 'ADMIN' || classRole === 'HEAD';
+}
+
+/** 课程（课表的前置数据）：与课表同权限 */
+export function canManageCourses(classRole: ClassRole): boolean {
+  return canManageSchedule(classRole);
+}
+
+/** 布置作业 / 叫人 / 发通知：管理员、班主任、科任老师皆可（学生不可） */
+export function canPublishContent(classRole: ClassRole): boolean {
+  return classRole === 'ADMIN' || classRole === 'HEAD' || classRole === 'SUBJECT';
+}
+
+/** 成绩录入/修改/导入：仅管理员（按需求 7 的权限清单） */
+export function canManageGrades(role: UserRole): boolean {
+  return role === 'ADMIN';
+}
+
+/** 可导入的数据类型 */
+export type ImportKind = 'grades' | 'students' | 'scheduleTimes';
+
+/** 导入权限：成绩=管理员；名单=管理员；课表时间=管理员或本班班主任 */
+export function canImport(role: UserRole, classRole: ClassRole, kind: ImportKind): boolean {
+  if (kind === 'scheduleTimes') return canManageSchedule(classRole);
+  return canManageGrades(role);
+}
+
+/** 人类可读的权限矩阵（README / 设置页展示，单一事实来源） */
+export const PERMISSION_MATRIX: readonly {
+  action: string;
+  admin: boolean;
+  head: boolean;
+  subject: boolean;
+}[] = [
+  { action: '班级创建 / 修改 / 删除', admin: true, head: false, subject: false },
+  { action: '分配班主任与科任老师', admin: true, head: false, subject: false },
+  { action: '学生名单管理（增删 / 重置密码 / 导入）', admin: true, head: false, subject: false },
+  { action: '课表管理（增删改 / 时间配置导入）', admin: true, head: true, subject: false },
+  { action: '布置作业', admin: true, head: true, subject: true },
+  { action: '叫人', admin: true, head: true, subject: true },
+  { action: '发布通知', admin: true, head: true, subject: true },
+  { action: '成绩录入 / 修改 / 导入', admin: true, head: false, subject: false },
+];