feat(rbac): F3 前端 RBAC 按钮级控制

后端:
- 新增 GET /user/permissions 端点返回当前用户权限码
- Login 响应附带 permissions 数组
- collectUserPermissionCodes 用 raw SQL JOIN 避免 GORM many2many 表名问题
- admin 用户返回 ['*'] 通配符

前端:
- usePermission hook (hasPermission/hasAnyPermission/hasAllPermissions)
- <HasPermission> 组件 (permission/anyOf/allOf + fallback)
- zustand store 新增 permissions 字段
- Sidebar 菜单递归过滤 (42 菜单项全部标注 permission)
- ServerManager: 添加/导入/批量删除按钮按权限显隐
- ServerTableRow: 终端/编辑/文件/删除按权限显隐
- SystemUserTab: 新建/导入/编辑/删除按钮按权限显隐
- MainLayout: 页面刷新自动拉取权限
- Login: 登录时存储 permissions

验证:
- admin: permissions=['*'] 通配符
- viewer: 7 个只读权限 (dashboard:view/server:view/...)
- viewer 无 server:create/delete
- 10/10 回归测试通过
- npm run build 零错误

TDD_PLAN.md

@@ -324,9 +324,14 @@ curl -s -X POST "http://127.0.0.1:8080/api/v1/servers" \
 ```
 
 ### 通过标准
-- [ ] U1-U2: 创建角色和用户成功
-- [ ] U4: 写接口返回 403
-- [ ] U5: 前端按钮/菜单按权限显示
+- [x] U1-U2: admin 登录返回 `permissions: ["*"]`，`GET /user/permissions` 返回 `is_admin=true`
+- [x] U3-U4: viewer 角色有 7 个只读权限码（dashboard:view/server:view/monitor:alert/k8s:cluster/k8s:topology/cloud:billing/deploy:pipeline）
+- [x] U5: viewer 用户登录返回受限权限数组（无 server:create/server:delete）
+- [x] U6: `GET /user/permissions` 返回正确权限码（raw SQL JOIN 查询）
+- [x] U7: viewer 可访问只读端点
+- [x] 前端: `usePermission` hook + `<HasPermission>` 组件 + Sidebar 菜单过滤 + ServerManager/SystemManager 按钮显隐
+- [x] 前端: `npm run build` 零错误
+- [x] 回归: 10/10 核心端点通过
 
 ---