feat(rbac): 落地角色权限模型（需求 7）——班级/人员/名单/成绩收紧到管理员，班主任管本班课表，科任仅作业·叫人·通知

## 权限矩阵（前后端共用一份）

- 新增 `packages/shared/src/permissions.ts`：`ClassRole`（ADMIN/HEAD/SUBJECT/STUDENT/NONE）、
  `resolveClassRole()`、`canManageClasses/AssignTeachers/Roster/Schedule/Courses/PublishContent/ManageGrades/Import`
  与 `PERMISSION_MATRIX`（README 与验收脚本据此展开）。
- 后端 `lib/access.ts`：新增 `resolveUserClassRole()`（`Class.teacherId` → 班主任，`ClassTeacher` → 科任）
  与 `assertCanManageClasses/AssignTeachers/Roster/Schedule/PublishContent/ManageGrades`；
  各 service 在**服务层**断言（路由仅做角色过滤），越权统一 403。
- 收紧项：班级增删改、班主任/科任分配、学生名单与账号 → 仅 ADMIN；
  课表/课程增删改 → ADMIN 或本班班主任；成绩录入/修改/批量 → 仅 ADMIN（按需求清单）；
  作业/通知/叫人 → ADMIN、班主任、科任皆可。
- 读权限保持不变：教师仍可查看自己班级的课表/作业/通知/成绩列表与统计。

## 前端按同一矩阵隐藏入口

- 侧边栏：教师端不再显示「班级管理 / 学生管理 / 成绩录入」（管理员仍是 7 项）。
- 班级页：新建/编辑/删除按钮仅管理员可见；课表页：增删改按钮仅"管理员或本班班主任"可见；
  成绩页：录入/批量/删除按钮仅管理员可见。
- **叫人入口调整**：教师需要叫人，而「学生管理」是管理员专属，因此教师入口移到
  「通知发布 → 叫人」（选班级 → 选学生 → 快捷短语/自定义消息；名单走 `/classes/:id/students`，
  不使用管理员专属的 `/students`）；管理员在学生管理页仍保留逐行「叫人」。

## 顺手修掉的两个真实缺陷

- `NotificationsView.openCreate()`：班级列表异步加载期间点「发布通知」会导致「目标班级」为空、
  校验失败且**静默不发布**；现在打开弹窗前会确保班级已加载（冒烟同步等待下拉就绪）。
- `desktop-client/scripts/smoke.mjs`：上一次冒烟被强杀后配置目录仍被句柄占用，`rmSync` 报 ENOTEMPTY
  直接让冒烟启动失败；改为按进程号使用独立目录并容错清理。

## 验证

- `pnpm verify:e2e` **82/82** ✅：新增 14 项角色权限断言（班主任/科任建班被拒、班主任删班被拒、
  班主任/科任分配人员被拒、管理员分配与取消成功、科任管理课表被拒、科任可布置作业、
  科任/班主任录入成绩被拒、管理员录入成功），并把历史用例中"仅管理员可执行"的操作切到管理员令牌。
- `pnpm verify:web` **17/17** ✅：新增「教师端隐藏无权入口」断言（可见菜单=仪表盘/课表/作业/通知，
  越权入口=[]），叫人入口改到通知页后仍验证弹窗、8 条快捷短语、自定义输入与可选中态。
- `pnpm verify:desktop` **34/34** ✅；`lint` / `format:check` / `typecheck` 全绿。
- 数据清理：清掉历史遗留的测试班级与 4 条探针课表，演示数据恢复为 3 个班级。

packages/server/src/modules/classes/classes.module.ts

@@ -1,4 +1,4 @@
-import { Router } from 'express';
+import { Router } from 'express';
 import { sendCreated, sendOk } from '../../lib/http.js';
 import { idParamSchema } from '../../lib/schemas.js';
 import { authenticate, getAuthUser, requireRole } from '../../middleware/auth.js';
@@ -38,7 +38,7 @@ router.get('/:id', validate({ params: idParamSchema }), async (req, res) => {
 });
 
 /** POST /api/classes - 创建班级 */
-router.post('/', requireRole('ADMIN', 'TEACHER'), validate({ body: createClassSchema }), async (req, res) => {
+router.post('/', requireRole('ADMIN'), validate({ body: createClassSchema }), async (req, res) => {
   const user = getAuthUser(req);
   sendCreated(res, await classService.createClass(user, req.body as CreateClassInput), '班级创建成功');
 });

packages/server/src/modules/classes/classes.service.ts

@@ -1,8 +1,10 @@
-import type { ClassDetailDto, ClassDto, StudentDto } from '@classhelper/shared';
+import type { ClassDetailDto, ClassDto, StudentDto } from '@classhelper/shared';
 import { env } from '../../config/env.js';
 import {
   assertClassAccess,
-  assertClassWritable,
+  assertCanAssignTeachers,
+  assertCanManageClasses,
+  assertCanManageRoster,
   classScopeIdFilter,
   resolveClassScope,
 } from '../../lib/access.js';
@@ -75,6 +77,7 @@ export async function getClassDetail(user: TokenPayload, classId: string): Promi
 
 /** 创建班级 */
 export async function createClass(user: TokenPayload, input: CreateClassInput): Promise<ClassDto> {
+  assertCanManageClasses(user);
   let teacherId = user.sub;
   if (input.teacherId && user.role === 'ADMIN') {
     const teacher = await prisma.user.findUnique({ where: { id: input.teacherId } });
@@ -101,7 +104,7 @@ export async function updateClass(
   classId: string,
   input: UpdateClassInput,
 ): Promise<ClassDto> {
-  await assertClassWritable(user, classId);
+  assertCanManageClasses(user);
 
   const updated = await prisma.class.update({
     where: { id: classId },
@@ -118,7 +121,7 @@ export async function updateClass(
 
 /** 删除班级（级联删除课表/作业/通知/成绩） */
 export async function deleteClass(user: TokenPayload, classId: string): Promise<void> {
-  await assertClassWritable(user, classId);
+  assertCanManageClasses(user);
   emitToClass(classId, SOCKET_EVENTS.classUpdated, { classId, action: 'deleted' });
   await prisma.class.delete({ where: { id: classId } });
 }
@@ -144,7 +147,7 @@ export async function addStudent(
   classId: string,
   input: AddStudentInput,
 ): Promise<StudentDto> {
-  await assertClassWritable(user, classId);
+  assertCanManageRoster(user);
 
   const existing = await prisma.user.findUnique({ where: { username: input.username } });
   let studentId: string;
@@ -190,7 +193,7 @@ export async function addStudent(
 
 /** 将学生移出班级（保留账号） */
 export async function removeStudent(user: TokenPayload, classId: string, studentId: string): Promise<void> {
-  await assertClassWritable(user, classId);
+  assertCanManageRoster(user);
 
   const student = await prisma.user.findUnique({ where: { id: studentId } });
   if (!student || student.role !== 'STUDENT') throw ApiError.notFound('学生不存在');
@@ -206,7 +209,7 @@ export async function removeStudent(user: TokenPayload, classId: string, student
 
 /** 分配协作教师 */
 export async function assignTeacher(user: TokenPayload, classId: string, teacherId: string): Promise<void> {
-  await assertClassWritable(user, classId);
+  assertCanAssignTeachers(user);
 
   const teacher = await prisma.user.findUnique({ where: { id: teacherId } });
   if (!teacher || (teacher.role !== 'TEACHER' && teacher.role !== 'ADMIN')) {
@@ -222,7 +225,7 @@ export async function assignTeacher(user: TokenPayload, classId: string, teacher
 
 /** 取消协作教师（班主任不可被移除） */
 export async function removeTeacher(user: TokenPayload, classId: string, teacherId: string): Promise<void> {
-  await assertClassWritable(user, classId);
+  assertCanAssignTeachers(user);
 
   const target = await prisma.class.findUnique({ where: { id: classId }, select: { teacherId: true } });
   if (target?.teacherId === teacherId) throw ApiError.badRequest('班主任不能被移除，请先转移班级');