feat: 流水线三级权限体系（手动多选+通配符授权）+ 菜单分级 + SSE 认证修复

权限模型（借鉴 Jenkins Role-Strategy 与云效，默认拒绝）：
- 三级权限：查看（流水线+成功/失败日志）/ 发布（+构建、批量发布、重试）/ 管理（+配置、成员）；admin 全局豁免
- 权限组（管理员配置）：默认手动多选流水线（免正则，操作友好）；高级模式仅 * 通配符（cex-*）
- 单流水线成员直授权作为例外补充；AI 批量发布逐 job 校验，越权明确拒绝

后端：
- 新增 PipelineRole/PipelineMember 表与 /api/pipeline-roles、/api/pipelines/:id/members CRUD
- RequirePipelineAccess/RequireRunAccess 中间件挂全流水线与运行路由；列表按可见性过滤并附 accessLevel/canRetry
- /api/me 会话接口；logs/stream SSE 支持 ?token= 认证（原先完全免鉴权）并校验查看权限
- 凭证/主机/集群/构建节点/工具/Webhook/Jenkins/GitOps/插件/设置全部 AdminOnly；触发人以会话身份落库

前端：
- useSession 会话 hook；Sidebar 菜单分级（资源/集成/系统管理 admin-only）；admin 路由守卫
- 按钮级权限：执行/配置/删除/保存/重试按等级显隐；新页「流水线权限」与流水线成员弹窗（纯点选）
- 登录页记住密码；GUIDE/API 文档补权限章节

backend/internal/handler/ai.go

@@ -362,6 +362,7 @@ func AiRelease(hub *Hub) gin.HandlerFunc {
 			return
 		}
 		autoCreate := body.AutoCreate == nil || *body.AutoCreate
+		username, isAdmin := currentUser(c)
 
 		candidates := allCandidates()
 		type triggered struct {
@@ -378,12 +379,24 @@ func AiRelease(hub *Hub) gin.HandlerFunc {
 		var failList []failed
 
 		for _, name := range body.Jobs {
+			// 权限预检（operator 及以上）：已存在的流水线按完整权限判定；
+			// 未导入的 Jenkins Job 按正则角色命中判定，且必须先于自动创建——避免建出请求者自己都无权可见的流水线
+			var existing model.Pipeline
+			if database.DB.Where("name = ? OR jenkins_job_name = ?", name, name).First(&existing).Error == nil {
+				if pipelineAccessLevel(username, isAdmin, &existing) < LevelRank(LevelOperator) {
+					failList = append(failList, failed{Job: name, Reason: "无该流水线的执行权限"})
+					continue
+				}
+			} else if !isAdmin && roleLevelForName(username, name) < LevelRank(LevelOperator) {
+				failList = append(failList, failed{Job: name, Reason: "无该流水线的执行权限（权限组未匹配该名称）"})
+				continue
+			}
 			p, created, err := resolvePipeline(name, candidates, autoCreate, body.JenkinsServerID)
 			if err != nil {
 				failList = append(failList, failed{Job: name, Reason: err.Error()})
 				continue
 			}
-			run, err := triggerPipelineRun(hub, *p, body.Branch, body.Env, "admin", "batch")
+			run, err := triggerPipelineRun(hub, *p, body.Branch, body.Env, username, "batch")
 			if err != nil {
 				failList = append(failList, failed{Job: name, Reason: "触发失败: " + err.Error()})
 				continue