feat(rbac): 落地角色权限模型（需求 7）——班级/人员/名单/成绩收紧到管理员，班主任管本班课表，科任仅作业·叫人·通知

## 权限矩阵（前后端共用一份）

- 新增 `packages/shared/src/permissions.ts`：`ClassRole`（ADMIN/HEAD/SUBJECT/STUDENT/NONE）、
  `resolveClassRole()`、`canManageClasses/AssignTeachers/Roster/Schedule/Courses/PublishContent/ManageGrades/Import`
  与 `PERMISSION_MATRIX`（README 与验收脚本据此展开）。
- 后端 `lib/access.ts`：新增 `resolveUserClassRole()`（`Class.teacherId` → 班主任，`ClassTeacher` → 科任）
  与 `assertCanManageClasses/AssignTeachers/Roster/Schedule/PublishContent/ManageGrades`；
  各 service 在**服务层**断言（路由仅做角色过滤），越权统一 403。
- 收紧项：班级增删改、班主任/科任分配、学生名单与账号 → 仅 ADMIN；
  课表/课程增删改 → ADMIN 或本班班主任；成绩录入/修改/批量 → 仅 ADMIN（按需求清单）；
  作业/通知/叫人 → ADMIN、班主任、科任皆可。
- 读权限保持不变：教师仍可查看自己班级的课表/作业/通知/成绩列表与统计。

## 前端按同一矩阵隐藏入口

- 侧边栏：教师端不再显示「班级管理 / 学生管理 / 成绩录入」（管理员仍是 7 项）。
- 班级页：新建/编辑/删除按钮仅管理员可见；课表页：增删改按钮仅"管理员或本班班主任"可见；
  成绩页：录入/批量/删除按钮仅管理员可见。
- **叫人入口调整**：教师需要叫人，而「学生管理」是管理员专属，因此教师入口移到
  「通知发布 → 叫人」（选班级 → 选学生 → 快捷短语/自定义消息；名单走 `/classes/:id/students`，
  不使用管理员专属的 `/students`）；管理员在学生管理页仍保留逐行「叫人」。

## 顺手修掉的两个真实缺陷

- `NotificationsView.openCreate()`：班级列表异步加载期间点「发布通知」会导致「目标班级」为空、
  校验失败且**静默不发布**；现在打开弹窗前会确保班级已加载（冒烟同步等待下拉就绪）。
- `desktop-client/scripts/smoke.mjs`：上一次冒烟被强杀后配置目录仍被句柄占用，`rmSync` 报 ENOTEMPTY
  直接让冒烟启动失败；改为按进程号使用独立目录并容错清理。

## 验证

- `pnpm verify:e2e` **82/82** ✅：新增 14 项角色权限断言（班主任/科任建班被拒、班主任删班被拒、
  班主任/科任分配人员被拒、管理员分配与取消成功、科任管理课表被拒、科任可布置作业、
  科任/班主任录入成绩被拒、管理员录入成功），并把历史用例中"仅管理员可执行"的操作切到管理员令牌。
- `pnpm verify:web` **17/17** ✅：新增「教师端隐藏无权入口」断言（可见菜单=仪表盘/课表/作业/通知，
  越权入口=[]），叫人入口改到通知页后仍验证弹窗、8 条快捷短语、自定义输入与可选中态。
- `pnpm verify:desktop` **34/34** ✅；`lint` / `format:check` / `typecheck` 全绿。
- 数据清理：清掉历史遗留的测试班级与 4 条探针课表，演示数据恢复为 3 个班级。

packages/server/src/lib/access.ts

@@ -1,12 +1,25 @@
+import {
+  canManageGrades,
+  canManageSchedule,
+  canPublishContent,
+  canManageClasses,
+  canAssignTeachers,
+  canManageRoster,
+  resolveClassRole,
+  type ClassRole,
+} from '@classhelper/shared';
 import { prisma } from './db.js';
 import { ApiError } from './http.js';
 import type { TokenPayload } from './jwt.js';
 
 /**
  * 权限（RBAC）规则：
- * - ADMIN   ：可访问全部班级
- * - TEACHER ：仅可访问自己创建（teacherId）或被分配（ClassTeacher）的班级
- * - STUDENT ：仅可查看自己所在班级的数据，且无任何写权限
+ * - ADMIN   ：全部班级；班级增删改、人员分配、成绩、课表
+ * - HEAD    ：班主任（Class.teacherId）—— 本班课表 + 作业/通知/叫人
+ * - SUBJECT ：科任老师（ClassTeacher）—— 仅作业/通知/叫人
+ * - STUDENT ：只读；班级账号（classSession）以班级为单位读写自己的数据
+ *
+ * 判定逻辑与前端共用 `@classhelper/shared/permissions`，避免前后端口径漂移。
  */
 
 export function isAdmin(user: TokenPayload): boolean {
@@ -82,6 +95,75 @@ export async function assertClassWritable(user: TokenPayload, classId: string):
   await assertClassAccess(user, classId);
 }
 
+/* ---------------------------------------------------------------- 班级内角色 */
+
+/** 解析当前用户在某班级里的角色（ADMIN / HEAD / SUBJECT / STUDENT / NONE） */
+export async function resolveUserClassRole(user: TokenPayload, classId: string): Promise<ClassRole> {
+  if (user.role === 'ADMIN') return 'ADMIN';
+  if (user.role === 'STUDENT') return canAccessClass(user, classId).then((ok) => (ok ? 'STUDENT' : 'NONE'));
+
+  const record = await prisma.class.findUnique({
+    where: { id: classId },
+    select: {
+      teacherId: true,
+      teachers: { where: { teacherId: user.sub }, select: { id: true } },
+    },
+  });
+  if (!record) return 'NONE';
+  return resolveClassRole({
+    role: user.role,
+    isHeadTeacher: record.teacherId === user.sub,
+    isSubjectTeacher: record.teachers.length > 0,
+  });
+}
+
+/** 班级本身（增删改）与人员分配：仅管理员 */
+export function assertCanManageClasses(user: TokenPayload): void {
+  if (!canManageClasses(user.role)) {
+    throw ApiError.forbidden('只有管理员可以创建、修改或删除班级');
+  }
+}
+
+/** 班主任 / 科任老师分配：仅管理员 */
+export function assertCanAssignTeachers(user: TokenPayload): void {
+  if (!canAssignTeachers(user.role)) {
+    throw ApiError.forbidden('只有管理员可以分配班主任与科任老师');
+  }
+}
+
+/** 学生名单管理：仅管理员 */
+export function assertCanManageRoster(user: TokenPayload): void {
+  if (!canManageRoster(user.role)) {
+    throw ApiError.forbidden('只有管理员可以管理学生名单与账号');
+  }
+}
+
+/** 课表管理（含时间配置导入）：管理员或本班班主任 */
+export async function assertCanManageSchedule(user: TokenPayload, classId: string): Promise<void> {
+  const classRole = await resolveUserClassRole(user, classId);
+  if (!canManageSchedule(classRole)) {
+    throw ApiError.forbidden(
+      classRole === 'SUBJECT' ? '科任老师不能管理课表，请联系班主任或管理员' : '无权管理该班级的课表',
+    );
+  }
+}
+
+/** 作业 / 通知 / 叫人：管理员、班主任、科任老师 */
+export async function assertCanPublishContent(user: TokenPayload, classId: string): Promise<void> {
+  await assertClassAccess(user, classId);
+  const classRole = await resolveUserClassRole(user, classId);
+  if (!canPublishContent(classRole)) {
+    throw ApiError.forbidden('当前账号没有发布作业/通知或叫人的权限');
+  }
+}
+
+/** 成绩录入 / 修改 / 导入：仅管理员 */
+export function assertCanManageGrades(user: TokenPayload): void {
+  if (!canManageGrades(user.role)) {
+    throw ApiError.forbidden('只有管理员可以录入、修改或导入成绩');
+  }
+}
+
 /** 学生的主班级，未分配班级时抛 403 */
 export function requireStudentClassId(user: TokenPayload): string {
   if (!user.classId) throw ApiError.forbidden('当前账号尚未被分配到任何班级，请联系班主任');