feat(authz): 重写权限模板分配与班级授权边界

拆分能力、分配范围和业务关系，固定管理员能力并收紧组织级写入口。
补齐内容、课表、设备会话和实时通道授权，兼容旧库分配及历史快照。
重写权限分配预览，按实际可操作范围展示维护入口，合并学生入口并独立学年升级页。
增加授权攻击矩阵及静态门禁，更新隔离回归与开发契约。

验证：授权矩阵 23 段通过，Node 24 下 Web 63/63，类型检查、lint 与文档严格构建通过。

packages/server/src/modules/system/system.module.ts

@@ -1,3 +1,4 @@
+import { requireAdmin } from '../../middleware/auth.js';
 import { Router } from 'express';
 import { API_PATHS } from '@classhelper/shared';
 import { sendOk } from '../../lib/http.js';
@@ -13,7 +14,7 @@ import {
 import * as systemService from './system.service.js';
 
 const router = Router();
-router.use(authenticate());
+router.use(authenticate(), requireAdmin());
 
 /**
  * 系统设置与运维接口（**全部仅 ADMIN**，权限键 `system:manage`）。
@@ -46,7 +47,7 @@ router.put(
   validate({ body: updateAutostartSchema }),
   async (req, res) => {
     const input = validatedBody<UpdateAutostartInput>(req);
-    sendOk(res, await systemService.updateAutostart(input), '开机自启设置已生效');
+    sendOk(res, await systemService.updateAutostart(getAuthUser(req), input), '开机自启设置已生效');
   },
 );