feat(rbac): 成绩录入/导入放开到本班班主任（需求 6 与需求 7 口径统一）

依据: 需求 6 明确要求'成绩与表格导入……老师端与学生端班级账号均可用且不越权'，
      需求 7 的权限清单并未把成绩收归管理员专属（只限制班级增删改、人员分配与科任权限）。

变更:
- shared/permissions: canManageGrades(classRole) = ADMIN | HEAD；canImport 按 kind 分发
  （成绩=ADMIN|HEAD、名单=仅管理员、课表时间=ADMIN|HEAD）；PERMISSION_MATRIX 同步
- lib/access: assertCanManageGrades(user, classId) 异步按班级角色判定，科任/跨班给出针对性提示
- grades 服务与路由、imports 的模板/预览/提交路由放宽为 ADMIN|TEACHER，
  服务层按 kind + 班级二次校验（名单仍仅管理员，科任仍 403）
- Web 管理端: 成绩录入菜单对教师可见；写入/导入按钮仅对'管理员或所选班级班主任'显示

验证:
- verify:e2e 133/133（新增: 班主任录入本班成绩 201 + 跨班 403、班主任模板/预览/导入本班成绩可用、
  科任导入 403、班主任名单模板与导入 403、append 重复导入跳过）
- verify:web 19/19（新增: 班主任可见成绩导入入口并打开弹窗，越权入口仍隐藏、菜单 5 项）
- verify:desktop 47/47（未受影响）
文档: README 权限矩阵与'需求 6/7 口径统一'对照表、各项计数更新

packages/server/src/modules/grades/grades.module.ts

@@ -1,4 +1,4 @@
-import { Router } from 'express';
+import { Router } from 'express';
 import { sendCreated, sendOk } from '../../lib/http.js';
 import { idParamSchema } from '../../lib/schemas.js';
 import { authenticate, getAuthUser, requireRole } from '../../middleware/auth.js';
@@ -52,7 +52,7 @@ router.get(
 );
 
 /** POST /api/grades - 录入单条成绩（广播 grade:updated） */
-router.post('/', requireRole('ADMIN'), validate({ body: createGradeSchema }), async (req, res) => {
+router.post('/', requireRole('ADMIN', 'TEACHER'), validate({ body: createGradeSchema }), async (req, res) => {
   const user = getAuthUser(req);
   sendCreated(
     res,
@@ -62,16 +62,21 @@ router.post('/', requireRole('ADMIN'), validate({ body: createGradeSchema }), as
 });
 
 /** POST /api/grades/bulk - 批量录入 / 导入成绩 */
-router.post('/bulk', requireRole('ADMIN'), validate({ body: bulkCreateGradeSchema }), async (req, res) => {
-  const user = getAuthUser(req);
-  const grades = await gradeService.bulkCreateGrades(user, req.body as BulkCreateGradeInput);
-  sendCreated(res, { count: grades.length, items: grades }, `已录入 ${grades.length} 条成绩`);
-});
+router.post(
+  '/bulk',
+  requireRole('ADMIN', 'TEACHER'),
+  validate({ body: bulkCreateGradeSchema }),
+  async (req, res) => {
+    const user = getAuthUser(req);
+    const grades = await gradeService.bulkCreateGrades(user, req.body as BulkCreateGradeInput);
+    sendCreated(res, { count: grades.length, items: grades }, `已录入 ${grades.length} 条成绩`);
+  },
+);
 
 /** PATCH /api/grades/:id - 修改成绩 */
 router.patch(
   '/:id',
-  requireRole('ADMIN'),
+  requireRole('ADMIN', 'TEACHER'),
   validate({ params: idParamSchema, body: updateGradeSchema }),
   async (req, res) => {
     const user = getAuthUser(req);
@@ -81,12 +86,17 @@ router.patch(
 );
 
 /** DELETE /api/grades/:id - 删除成绩 */
-router.delete('/:id', requireRole('ADMIN'), validate({ params: idParamSchema }), async (req, res) => {
-  const user = getAuthUser(req);
-  const { id } = validatedParams<{ id: string }>(req);
-  await gradeService.deleteGrade(user, id);
-  sendOk(res, { id }, '成绩已删除');
-});
+router.delete(
+  '/:id',
+  requireRole('ADMIN', 'TEACHER'),
+  validate({ params: idParamSchema }),
+  async (req, res) => {
+    const user = getAuthUser(req);
+    const { id } = validatedParams<{ id: string }>(req);
+    await gradeService.deleteGrade(user, id);
+    sendOk(res, { id }, '成绩已删除');
+  },
+);
 
 export const gradesModule = defineModule({
   name: 'grades',