feat(shared,server,web,client,plugin)!: 角色与权限重构 + 学期周次 + 课表方向反转（1.2.0）

学生、任课关系、周次口径三处长期靠约定维持的事情，改为由数据模型保证。

学生不是账号
- 拆出独立 Student 表，没有 passwordHash / role / 任何登录字段
- 「学生不能登录」由表结构保证，不再靠「登录前判 role 再 403」的代码分支
- 三张个人数据表外键 userId → studentId；删掉 Enrollment 与 ClassTeacher
- 学生一律称「学号」、教师一律称「工号」，「学生账号」这个概念消失

任课关系唯一来源 = Course（班级 + 科目 + 教师）
- 班主任 = Class.teacherId，科任 = Course.teacherId，同一人两处指向同一账号、不重复建号
- 作业与成绩按科目再收一道：挂科目只由该科任课老师改，没挂科目归班主任 / 管理员
- 新增「任课教师分配」与「班级教师批量导入」（带「使用工号匹配」开关）

成绩与名单
- 成绩等级：百分制 / 等级制 A·B·C·D / 自定义，支持单个与批量改等级
- 按学号查成绩明细（教师端 + 班级端 + 设备令牌），受按班开关控制
- 调班 / 转出（单个与批量）+ 可查历史；学号不变、历史作业成绩留原归属
- 毕业归档页（按年度记录毕业班级 / 毕业生 / 转出学生 / 该届通知与作业）
- 学年升级（未毕业不归档、数据沿用）；班级称呼改为「2026级1班」

ClassHelper 班级端在线状态
- Web 端显示 班级 / 设备名 / 设备号 / 在线离线 / 最后在线 / 最后心跳
- lastHeartbeatAt 驱动 60 秒在线窗口，与只表示「带状态上报」的 lastSeenAt 分开

学期周次
- 新增 TermWeek（classId 空串 = 全校默认），管理员可用日期范围选择器逐周配置
- 一键按开学日期生成整学期；联网拉取调休建议（只给建议、不改数据，无外网失败属正常）
- 改周次后随课表下发给教室的 ClassHelper 班级端

课表方向反转
- 主方向改为「服务端 → 教室」自动下发；教室不再自动回传
- 取教室课表改为手动动作（点击前弹警告），插件按待办标记在下一次心跳补报

改名
- 班级小助手 → ClassHelper：界面、窗口标题、托盘、灵动岛、EXE、安装包、
  安装目录、systemd 描述、插件清单与设置页、官网、文档站、README

BREAKING CHANGE: 产品名与 EXE 名变更（班级小助手.exe → ClassHelper.exe），
安装目录随之改变，不支持覆盖安装，需先卸载旧版。
服务端首次启动会自动应用 6 个数据库迁移（学生行按 id 原样搬迁，历史数据不丢），
升级前请先备份。

packages/server/src/modules/integrations/integrations.module.ts

@@ -1,8 +1,10 @@
 import { Router } from 'express';
-import { sendCreated, sendOk } from '../../lib/http.js';
+import { ApiError, sendCreated, sendOk } from '../../lib/http.js';
 import { authenticate, getAuthUser, requireRole } from '../../middleware/auth.js';
 import { validate, validatedBody, validatedParams, validatedQuery } from '../../middleware/validate.js';
 import { defineModule } from '../module.types.js';
+import * as gradeService from '../grades/grades.service.js';
+import { studentGradeQuerySchema } from '../grades/grades.schemas.js';
 import { authenticateDevice, assertDeviceEnabled, getDevice } from './device-auth.js';
 import {
   ackNotificationSchema,
@@ -70,6 +72,38 @@ router.get('/classisland/class-plan', authenticateDevice(), async (req, res) =>
   sendOk(res, await integrationService.pullClassPlanForDevice(device), '获取课表成功');
 });
 
+/**
+ * GET /api/integrations/classisland/student-grades?studentNo= - 班级端按学号查成绩明细
+ *
+ * 给"插件形态的 ClassHelper 班级端"留的通道：走设备令牌而不是 JWT。
+ * 受**同一个班级开关**约束（`Class.studentGradeQueryEnabled`），与桌面客户端走的是同一条 service。
+ */
+router.get(
+  '/classisland/student-grades',
+  authenticateDevice(),
+  validate({ query: studentGradeQuerySchema }),
+  async (req, res) => {
+    const device = getDevice(req);
+    assertDeviceEnabled(device);
+    const { studentNo } = validatedQuery<{ studentNo?: string }>(req);
+    if (!studentNo) throw ApiError.badRequest('请提供学号（studentNo）');
+    // 设备令牌没有"账号"，构造一个等价于 ClassHelper 班级端的会话载荷
+    const session = {
+      sub: device.classId,
+      username: '',
+      name: '',
+      role: 'CLASS_DEVICE' as const,
+      classId: device.classId,
+      classSession: true,
+    };
+    sendOk(
+      res,
+      await gradeService.getStudentGradeDetail(session, studentNo, device.classId),
+      '获取学生成绩明细成功',
+    );
+  },
+);
+
 /* ================================================================== Web 管理端
  * 用 JWT 鉴权；权限与"课表管理 / 发通知"保持一致，由 service 内二次校验班级维度角色。
  */
@@ -91,6 +125,16 @@ router.get(
   },
 );
 
+/**
+ * GET /api/integrations/classisland/status - **ClassHelper 班级端在线状态**（教师网页）
+ *
+ * 管理员看全部班级；普通教师看自己担任班主任的班级 ∪ 任课的班级。
+ * 每条含：班级、设备名/设备号、在线/离线、最后在线时间、最后心跳时间。
+ */
+router.get('/classisland/status', requireRole('ADMIN', 'TEACHER'), async (req, res) => {
+  sendOk(res, await integrationService.listClassHelperStatus(getAuthUser(req)), '获取在线状态成功');
+});
+
 /** POST /api/integrations/devices - 新建设备并一次性返回明文令牌（管理员或本班班主任） */
 router.post(
   '/devices',
@@ -120,6 +164,25 @@ router.patch(
   },
 );
 
+/**
+ * POST /api/integrations/devices/:id/request-schedule - 「从教室机器获取一次课表」
+ *
+ * **这是现在取教室课表的唯一入口**（原来的自动回传已默认关闭，见
+ * `IntegrationDevice.syncScheduleToServer`）。Web 端点击前会弹警告对话框，
+ * 说明它会用教室机器的课表覆盖本班现有课表。
+ * 置一个待办标记，插件在下一次心跳看到就立刻把课表推上来。
+ */
+router.post(
+  '/devices/:id/request-schedule',
+  requireRole('ADMIN', 'TEACHER'),
+  validate({ params: deviceIdParamSchema }),
+  async (req, res) => {
+    const { id } = validatedParams<{ id: string }>(req);
+    const result = await integrationService.requestScheduleReport(getAuthUser(req), id);
+    sendOk(res, result, result.nextHeartbeatHint);
+  },
+);
+
 /** POST /api/integrations/devices/:id/token - 重置令牌（旧令牌立即失效） */
 router.post(
   '/devices/:id/token',