feat(authz): 重写权限模板分配与班级授权边界

拆分能力、分配范围和业务关系，固定管理员能力并收紧组织级写入口。
补齐内容、课表、设备会话和实时通道授权，兼容旧库分配及历史快照。
重写权限分配预览，按实际可操作范围展示维护入口，合并学生入口并独立学年升级页。
增加授权攻击矩阵及静态门禁，更新隔离回归与开发契约。

验证：授权矩阵 23 段通过，Node 24 下 Web 63/63，类型检查、lint 与文档严格构建通过。

packages/web-admin/src/views/PromotionView.vue

@@ -0,0 +1,15 @@
+<script setup lang="ts">
+import PromotionSettings from '@/components/PromotionSettings.vue';
+</script>
+
+<template>
+  <div class="page">
+    <div class="page-header">
+      <div>
+        <h2 class="page-title">学年升级</h2>
+        <p class="page-subtitle">维护年度升级计划与学段轨道，执行前先预览影响并确认备份。</p>
+      </div>
+    </div>
+    <PromotionSettings />
+  </div>
+</template>