feat(rbac): 成绩录入/导入放开到本班班主任（需求 6 与需求 7 口径统一）

依据: 需求 6 明确要求'成绩与表格导入……老师端与学生端班级账号均可用且不越权'，
      需求 7 的权限清单并未把成绩收归管理员专属（只限制班级增删改、人员分配与科任权限）。

变更:
- shared/permissions: canManageGrades(classRole) = ADMIN | HEAD；canImport 按 kind 分发
  （成绩=ADMIN|HEAD、名单=仅管理员、课表时间=ADMIN|HEAD）；PERMISSION_MATRIX 同步
- lib/access: assertCanManageGrades(user, classId) 异步按班级角色判定，科任/跨班给出针对性提示
- grades 服务与路由、imports 的模板/预览/提交路由放宽为 ADMIN|TEACHER，
  服务层按 kind + 班级二次校验（名单仍仅管理员，科任仍 403）
- Web 管理端: 成绩录入菜单对教师可见；写入/导入按钮仅对'管理员或所选班级班主任'显示

验证:
- verify:e2e 133/133（新增: 班主任录入本班成绩 201 + 跨班 403、班主任模板/预览/导入本班成绩可用、
  科任导入 403、班主任名单模板与导入 403、append 重复导入跳过）
- verify:web 19/19（新增: 班主任可见成绩导入入口并打开弹窗，越权入口仍隐藏、菜单 5 项）
- verify:desktop 47/47（未受影响）
文档: README 权限矩阵与'需求 6/7 口径统一'对照表、各项计数更新

packages/server/src/modules/grades/grades.service.ts

@@ -106,7 +106,7 @@ export async function getGradeStats(user: TokenPayload, options: ListGradeOption
 }
 
 export async function createGrade(user: TokenPayload, input: CreateGradeInput): Promise<GradeDto> {
-  assertCanManageGrades(user);
+  await assertCanManageGrades(user, input.classId);
   await assertStudentInClass(input.userId, input.classId);
   if (input.courseId) await assertCourseInClass(input.courseId, input.classId);
 
@@ -127,7 +127,7 @@ export async function createGrade(user: TokenPayload, input: CreateGradeInput):
 
 /** 批量录入：同一个考试一次提交整班成绩 */
 export async function bulkCreateGrades(user: TokenPayload, input: BulkCreateGradeInput): Promise<GradeDto[]> {
-  assertCanManageGrades(user);
+  await assertCanManageGrades(user, input.classId);
   if (input.courseId) await assertCourseInClass(input.courseId, input.classId);
 
   const publishedAt = parseOptionalDate(input.publishedAt) ?? new Date();
@@ -163,7 +163,7 @@ export async function updateGrade(
 ): Promise<GradeDto> {
   const current = await prisma.grade.findUnique({ where: { id: gradeId } });
   if (!current) throw ApiError.notFound('成绩记录不存在');
-  assertCanManageGrades(user);
+  await assertCanManageGrades(user, current.classId);
   if (input.courseId) await assertCourseInClass(input.courseId, current.classId);
 
   const updated = await prisma.grade.update({
@@ -189,7 +189,7 @@ export async function updateGrade(
 export async function deleteGrade(user: TokenPayload, gradeId: string): Promise<void> {
   const current = await prisma.grade.findUnique({ where: { id: gradeId } });
   if (!current) throw ApiError.notFound('成绩记录不存在');
-  assertCanManageGrades(user);
+  await assertCanManageGrades(user, current.classId);
   await prisma.grade.delete({ where: { id: gradeId } });
   emitToClass(current.classId, SOCKET_EVENTS.gradeUpdated, {
     ...toGradeDto({ ...current, course: null, student: null, class: null }),