feat(authz): 重写权限模板分配与班级授权边界

拆分能力、分配范围和业务关系，固定管理员能力并收紧组织级写入口。
补齐内容、课表、设备会话和实时通道授权，兼容旧库分配及历史快照。
重写权限分配预览，按实际可操作范围展示维护入口，合并学生入口并独立学年升级页。
增加授权攻击矩阵及静态门禁，更新隔离回归与开发契约。

验证：授权矩阵 23 段通过，Node 24 下 Web 63/63，类型检查、lint 与文档严格构建通过。

packages/server/src/modules/system/system.service.ts

@@ -1,3 +1,5 @@
+import { assertAdmin } from '../../lib/authz/index.js';
+import type { TokenPayload } from '../../lib/jwt.js';
 import { createAutostartController } from './autostart.js';
 import { spawnSync } from 'node:child_process';
 import fs from 'node:fs';
@@ -10,7 +12,6 @@ import {
 } from '@classhelper/shared';
 import { env } from '../../config/env.js';
 import { prisma } from '../../lib/db.js';
-import type { TokenPayload } from '../../lib/jwt.js';
 import { logger } from '../../lib/logger.js';
 import { SETTING_KEYS, getBooleanSetting, setBooleanSetting } from '../../lib/settings.js';
 import { APP_VERSION } from '../../lib/version.js';
@@ -39,6 +40,7 @@ export async function updateSystemSettings(
   user: TokenPayload,
   input: UpdateSystemSettingsInput,
 ): Promise<SystemSettingsDto> {
+  assertAdmin(user);
   if (input.developerMode !== undefined) {
     await setBooleanSetting(SETTING_KEYS.developerMode, input.developerMode);
     logger.info(`开发者模式已${input.developerMode ? '开启' : '关闭'}（操作人=${user.username}）`);
@@ -55,7 +57,11 @@ const autostart = createAutostartController({
 export async function getAutostartStatus(): Promise<AutostartStatusDto> {
   return autostart.read();
 }
-export async function updateAutostart(input: UpdateAutostartInput): Promise<AutostartStatusDto> {
+export async function updateAutostart(
+  actor: TokenPayload,
+  input: UpdateAutostartInput,
+): Promise<AutostartStatusDto> {
+  assertAdmin(actor);
   return autostart.write(input.enabled);
 }