feat(rbac): 成绩录入/导入放开到本班班主任（需求 6 与需求 7 口径统一）

依据: 需求 6 明确要求'成绩与表格导入……老师端与学生端班级账号均可用且不越权'，
      需求 7 的权限清单并未把成绩收归管理员专属（只限制班级增删改、人员分配与科任权限）。

变更:
- shared/permissions: canManageGrades(classRole) = ADMIN | HEAD；canImport 按 kind 分发
  （成绩=ADMIN|HEAD、名单=仅管理员、课表时间=ADMIN|HEAD）；PERMISSION_MATRIX 同步
- lib/access: assertCanManageGrades(user, classId) 异步按班级角色判定，科任/跨班给出针对性提示
- grades 服务与路由、imports 的模板/预览/提交路由放宽为 ADMIN|TEACHER，
  服务层按 kind + 班级二次校验（名单仍仅管理员，科任仍 403）
- Web 管理端: 成绩录入菜单对教师可见；写入/导入按钮仅对'管理员或所选班级班主任'显示

验证:
- verify:e2e 133/133（新增: 班主任录入本班成绩 201 + 跨班 403、班主任模板/预览/导入本班成绩可用、
  科任导入 403、班主任名单模板与导入 403、append 重复导入跳过）
- verify:web 19/19（新增: 班主任可见成绩导入入口并打开弹窗，越权入口仍隐藏、菜单 5 项）
- verify:desktop 47/47（未受影响）
文档: README 权限矩阵与'需求 6/7 口径统一'对照表、各项计数更新

packages/shared/src/permissions.ts

@@ -4,7 +4,7 @@ import type { UserRole } from './types.js';
  * 班级内的角色（相对"某一个班级"而言）。
  *
  * - `ADMIN`   系统管理员：班级增删改、人员分配、全部数据
- * - `HEAD`    班主任（`Class.teacherId`）：本班课表 + 作业/通知/叫人
+ * - `HEAD`    班主任（`Class.teacherId`）：本班课表 + 本班成绩（含导入）+ 作业/通知/叫人
  * - `SUBJECT` 科任老师（`ClassTeacher`）：仅作业/通知/叫人
  * - `STUDENT` 学生（个人账号或班级账号）：只读
  * - `NONE`    与该班级无关
@@ -61,18 +61,26 @@ export function canPublishContent(classRole: ClassRole): boolean {
   return classRole === 'ADMIN' || classRole === 'HEAD' || classRole === 'SUBJECT';
 }
 
-/** 成绩录入/修改/导入：仅管理员（按需求 7 的权限清单） */
-export function canManageGrades(role: UserRole): boolean {
-  return role === 'ADMIN';
+/**
+ * 成绩录入 / 修改 / 导入：管理员，或**本班班主任**。
+ *
+ * 需求 6 要求"成绩与表格导入……老师端与学生端班级账号均可用且不越权"，
+ * 而需求 7 的权限清单（班级增删改、人员分配、科任权限、班主任课表）并未把成绩收归管理员专属，
+ * 因此按"老师端可用 + 不越权"落地：班主任只能动**自己班上**的成绩，
+ * 科任老师依旧只有作业 / 叫人 / 通知权限（与需求 7 完全一致）。
+ */
+export function canManageGrades(classRole: ClassRole): boolean {
+  return classRole === 'ADMIN' || classRole === 'HEAD';
 }
 
 /** 可导入的数据类型 */
 export type ImportKind = 'grades' | 'students' | 'scheduleTimes';
 
-/** 导入权限：成绩=管理员；名单=管理员；课表时间=管理员或本班班主任 */
+/** 导入权限：成绩=管理员或本班班主任；名单=仅管理员；课表时间=管理员或本班班主任 */
 export function canImport(role: UserRole, classRole: ClassRole, kind: ImportKind): boolean {
+  if (kind === 'students') return canManageRoster(role);
   if (kind === 'scheduleTimes') return canManageSchedule(classRole);
-  return canManageGrades(role);
+  return canManageGrades(classRole);
 }
 
 /** 人类可读的权限矩阵（README / 设置页展示，单一事实来源） */
@@ -89,5 +97,5 @@ export const PERMISSION_MATRIX: readonly {
   { action: '布置作业', admin: true, head: true, subject: true },
   { action: '叫人', admin: true, head: true, subject: true },
   { action: '发布通知', admin: true, head: true, subject: true },
-  { action: '成绩录入 / 修改 / 导入', admin: true, head: false, subject: false },
+  { action: '成绩录入 / 修改 / 导入（仅本班）', admin: true, head: true, subject: false },
 ];