feat(permissions,clients,ai,system,server,web,client,shared)!: 权限组 + 客户端设备远控与自动更新 + 大模型助手 + 系统诊断（1.3.0）

功能级准入改为「权限键」，`requireRole` 退成默认模板。

权限组
- 权限目录（39 键：键 / 中文名 / 分类 / 默认角色）收口到 shared，路由挂 requirePermission / requireAnyPermission
- 有效权限每请求实时算，改完分组立刻生效：ADMIN 全集且 permission:manage、system:manage 不可剥夺；
  CLASS_DEVICE 空集（不受分组影响）；有分组 = 并集（因此也能用来**收回**权限）；无分组 = 角色默认模板
- 新增「权限组」页：组增删改、成员分配、生效权限预览
- 班级维度的科目规则（assertCanManageSubjectContent）故意不可被权限组覆盖

客户端设备（ClassHelper 桌面端）
- 设备身份是 deviceKey（首次启动生成的 UUID，saveConfig 拒绝改写、退出登录也保留）
- 心跳走「DB 记状态 + 客户端定时拉」，不引入新的长连接：30 秒一次，在线窗口 90 秒
- 远控命令 shutdown / restart / logoff / lock：服务端有效期 10 分钟，客户端弹默认选中「取消」的对话框、
  60 秒未确认按取消处理，执行后必须回执（重复回执幂等），同一台机器同一条命令只弹一次
- 新增「客户端设备」页：版本一览、一键推送更新、下发远控

客户端安装包由服务端下载并缓存（教室机常常没有外网，浏览器也受 CSP 限制）
- POST /api/update/client/fetch 由服务端下载到 data/client-releases/<版本>/ 并登记 sha256 + size
- 自动安装三条护栏：没有 sha256 就拒收、必须等到非上课且主窗口隐藏满 5 分钟、冒烟模式永不安装

大模型助手：只解析、不落库
- POST /api/ai/interpret 返回**待确认**的结构化动作（建作业 / 发通知 / 叫人），
  真正落库仍调既有端点 —— 权限断言、上课时段紧急通知保护、ClassIsland 推送全部自动复用
- 模型给的 params 用与手动入口**同一份** zod 再校验（模型输出不可信）
- API Key 走 AES-256-GCM（密钥由 JWT_SECRET 经 scrypt 派生）加密存 AppSetting，只进不出
- provider=mock 是离线确定性解析，自动化验收一律用它；每次解析写一条 AiAudit（不含密钥）

系统与运维
- 开发者模式（服务端内存缓存开关，热路径不查库；开启后 500 才附 error.stack）、运行诊断（绝不回传密钥）
- 开机自启动运行期可改：Windows 改 HKCU\...\Run、Linux systemctl enable/disable，
  **非安装形态一律返回 supported:false**，不往开发机的注册表里写自启项
- 服务端侧栏折叠只用 CSS 收拢（不重建 DOM），关怀模式只放大字号与控件、不动任何几何令牌

客户端
- 崩溃自愈：渲染进程挂掉 / 超 10 秒无响应先静默重建主窗口（10 分钟最多 3 次），
  未捕获异常只在「没在上课、没人看着」时才重启进程；冒烟模式绝不重启（会杀掉验证实例）
- 上线补弹离线期间收到的消息只做一次：起点只在「可达 → 不可达」的边界写，恢复时取最近 5 条按时间升序推

发布内容批量
- POST /notifications/bulk、POST /homeworks/bulk：**单班失败不影响整批**，逐班返回结果
- 作业的科目名跨班**按名匹配**已有课程，找不到就整班记失败，绝不自动建课
  （自动建课会把创建者写成任课老师，等于越权改任教关系）
- 通知与作业同口径按「所属日期」归档，新增 /notifications/days 与 /notifications/creators

BREAKING CHANGE: 能不能做某件事不再看角色名，而是看权限键（GET /api/permissions/me）。
未分组的账号按角色默认模板生效，行为与 1.2.0 一致；分组之后生效集合只由组的并集决定。
服务端首次启动会自动应用 1 个数据库迁移（权限组 3 表 / AppSetting / 客户端设备·命令·安装包 /
AiAudit / Notification.assignDate / User.careMode，历史通知按本地日期回填），升级前请先备份。

packages/desktop-client/src/renderer/stores/ui.ts

@@ -3,24 +3,47 @@ import { defineStore } from 'pinia';
 import type { DesktopStoredConfig } from '../../types/desktop.js';
 
 /**
- * 界面偏好（主题 / 侧边栏折叠）。
+ * 界面偏好（主题 / 侧边栏折叠 / 关怀模式）。
  *
- * 持久化在主进程配置（DesktopStoredConfig.theme / sidebarCollapsed）里，
+ * 持久化在主进程配置（DesktopStoredConfig.theme / sidebarCollapsed / careMode）里，
  * 与灵动岛外观等设置同一套落盘机制；浏览器调试（无 window.desktop）回落 localStorage。
  * 深色主题 = 在 <html> 上挂 .dark 类（Element Plus dark css-vars + styles/index.css 的
  * html.dark 品牌变量），应用主题的全部入口都必须走 setTheme，保证类名与配置同步。
+ *
+ * 关怀模式 = 在 <html> 上挂 .care-mode 类（styles/index.css 末尾那个集中覆盖块），
+ * 只放大正文与控件字号，不动任何几何令牌 —— 理由写在那个块的注释里。
  */
 
 const THEME_KEY = 'classhelper.theme';
 const SIDEBAR_KEY = 'classhelper.sidebarCollapsed';
+const CARE_MODE_KEY = 'classhelper.careMode';
+const DEVELOPER_MODE_KEY = 'classhelper.developerMode';
 
 function applyThemeClass(theme: 'light' | 'dark'): void {
   document.documentElement.classList.toggle('dark', theme === 'dark');
 }
 
+/**
+ * 关怀模式的类名开关。**只碰这一个类**：放大规则全在 CSS 里，
+ * JS 侧不逐个元素改字号（那样既漏元素又把主题与字号耦合在一起）。
+ */
+function applyCareModeClass(enabled: boolean): void {
+  document.documentElement.classList.toggle('care-mode', enabled);
+}
+
 export const useUiStore = defineStore('ui', () => {
   const theme = ref<'light' | 'dark'>('light');
   const sidebarCollapsed = ref(false);
+  const careMode = ref(false);
+  /**
+   * 开发者模式（需求 10）。
+   *
+   * 它既是主进程配置（`config.developerMode`，决定日志级别），也是**侧栏的一项** ——
+   * 所以必须放在 store 里：关掉开关时「开发者」菜单项要立刻消失、路由守卫也要立刻生效，
+   * 而「通用」页与 `ClientLayout.vue` 是两个不同的组件，靠各自的本地 ref 是传不过去的
+   * （此前"改完设置要重启客户端才看到"多半就是这个原因）。
+   */
+  const developerMode = ref(false);
 
   /** 启动时从主进程配置恢复（App.vue 的 boot 流程里调用，早于首屏渲染） */
   async function init(): Promise<void> {
@@ -29,10 +52,14 @@ export const useUiStore = defineStore('ui', () => {
       if (config) {
         theme.value = config.theme === 'dark' ? 'dark' : 'light';
         sidebarCollapsed.value = config.sidebarCollapsed === true;
+        applyCareMode(config.careMode === true);
+        developerMode.value = config.developerMode === true;
       }
     } else {
       theme.value = localStorage.getItem(THEME_KEY) === 'dark' ? 'dark' : 'light';
       sidebarCollapsed.value = localStorage.getItem(SIDEBAR_KEY) === '1';
+      applyCareMode(localStorage.getItem(CARE_MODE_KEY) === '1');
+      developerMode.value = localStorage.getItem(DEVELOPER_MODE_KEY) === '1';
     }
     applyThemeClass(theme.value);
   }
@@ -66,8 +93,64 @@ export const useUiStore = defineStore('ui', () => {
     void setSidebarCollapsed(!sidebarCollapsed.value);
   }
 
-  return { theme, sidebarCollapsed, init, setTheme, toggleTheme, setSidebarCollapsed, toggleSidebar };
+  /**
+   * 应用关怀模式（需求 14）：只挂类名 + 记状态，**不落盘**。
+   * 启动时由 `init()` 在首屏渲染前调用，所以刷新页面不会看到"先正常、后放大"的跳变。
+   */
+  function applyCareMode(enabled: boolean): void {
+    careMode.value = enabled;
+    applyCareModeClass(enabled);
+  }
+
+  /**
+   * 切换关怀模式（「通用」设置页的开关）：立刻生效并写回配置。
+   *
+   * 注意：用户明确开启时**不放大侧栏导轨**（见 styles/index.css 的 care-mode 块），
+   * 也**不做**任何 AI 助手按钮的联动 —— 本客户端目前没有助手入口，那条联动只存在于
+   * Web 管理端；这里不为了"看起来对称"去造一个入口。
+   */
+  async function setCareMode(enabled: boolean): Promise<void> {
+    applyCareMode(enabled);
+    if (window.desktop) {
+      await window.desktop.saveConfig({ careMode: enabled }).catch(() => undefined);
+    } else {
+      localStorage.setItem(CARE_MODE_KEY, enabled ? '1' : '0');
+    }
+  }
+
+  /**
+   * 切换开发者模式（「通用」设置页的开关）：立刻生效并写回配置。
+   *
+   * 打开之后有三件事同时发生，这里只负责**状态与落盘**：
+   * 1. 侧栏「设置」分组里出现「开发者」项（`ClientLayout.vue` 按 `ui.developerMode` 渲染）；
+   * 2. `main/index.ts` 在下次启动时把日志级别调到 debug（`logger.setVerbose`）——
+   *    本次会话的日志级别**不重开**，避免开着日志复现问题时把级别改来改去；
+   * 3. 「通用」页上给出"debug 级日志已开启"的提示。
+   */
+  async function setDeveloperMode(enabled: boolean): Promise<void> {
+    developerMode.value = enabled;
+    if (window.desktop) {
+      await window.desktop.saveConfig({ developerMode: enabled }).catch(() => undefined);
+    } else {
+      localStorage.setItem(DEVELOPER_MODE_KEY, enabled ? '1' : '0');
+    }
+  }
+
+  return {
+    theme,
+    sidebarCollapsed,
+    careMode,
+    developerMode,
+    init,
+    setTheme,
+    toggleTheme,
+    setSidebarCollapsed,
+    toggleSidebar,
+    applyCareMode,
+    setCareMode,
+    setDeveloperMode,
+  };
 });
 
 /** 供类型检查使用（仅引用类型） */
-export type UiConfig = Pick<DesktopStoredConfig, 'theme' | 'sidebarCollapsed'>;
+export type UiConfig = Pick<DesktopStoredConfig, 'theme' | 'sidebarCollapsed' | 'careMode' | 'developerMode'>;