feat(authz): 重写权限模板分配与班级授权边界

拆分能力、分配范围和业务关系，固定管理员能力并收紧组织级写入口。
补齐内容、课表、设备会话和实时通道授权，兼容旧库分配及历史快照。
重写权限分配预览，按实际可操作范围展示维护入口，合并学生入口并独立学年升级页。
增加授权攻击矩阵及静态门禁，更新隔离回归与开发契约。

验证：授权矩阵 23 段通过，Node 24 下 Web 63/63，类型检查、lint 与文档严格构建通过。

packages/server/src/modules/update/update.schemas.ts

@@ -13,7 +13,7 @@ export const clientReleaseVersionSchema = z
   .trim()
   .min(1, '请输入版本号')
   .max(40, '版本号最多 40 个字符')
-  .refine((value) => SAFE_SEGMENT.test(value), {
+  .refine((value) => SAFE_SEGMENT.test(value) && value !== '.' && value !== '..' && !value.includes('..'), {
     message: '版本号只能包含字母、数字、点、下划线与短横线',
   });
 
@@ -30,7 +30,9 @@ export const registerClientReleaseSchema = z.object({
     .trim()
     .min(1)
     .max(120)
-    .refine((value) => SAFE_SEGMENT.test(value), { message: '文件名只能包含字母、数字、点、下划线与短横线' })
+    .refine((value) => SAFE_SEGMENT.test(value) && value !== '.' && value !== '..' && !value.includes('..'), {
+      message: '文件名只能包含字母、数字、点、下划线与短横线',
+    })
     .optional(),
   notes: z.string().trim().max(500).optional(),
 });