feat(permissions): +10 прав ролей с энфорсом (Доступ · роли)

Реестр (registry.js) пополнен правами, которыми раньше нельзя было управлять:
• Учитель: classroom.host (онлайн-уроки), livequiz.host (живые викторины),
  simbuilder.use (конструктор симуляций), flashcards.manage (общие колоды).
• Ученик: homework.submit (сдача ДЗ), materials.save («Мои материалы»),
  assistant.use (ИИ-ассистент), games.play (учебные игры),
  flashcards.access / exam.access (доступ к разделам).
Все default=1 → текущее поведение сохранено; админ может выключить по роли/классу/юзеру.

Энфорс на роутах: учительские — requirePermission (роуты уже teacher-only);
ученические на ОБЩИХ роутах (assistant/materials/games/flashcards/exam-prep) —
новый requirePermissionForStudents(key) (учитель/админ проходят всегда, проверка
только ученику — иначе isEnabled=false сломал бы учителя). PERM_DEFAULTS строится
из реестра → фолбэк до сидирования = enabled, никто не блокируется. Группы UI —
существующие (новых ярлыков нет). seedDefaults авто-сидит новые ключи на чтении.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

backend/src/middleware/auth.js

@@ -119,6 +119,22 @@ function parentAuth(req, res, next) {
   }
 }
 
+/**
+ * requirePermissionForStudents(key) — применяет проверку права ТОЛЬКО к ролям
+ * ученика (student/free_student); учитель и админ проходят всегда.
+ * Нужно для роутов, которыми пользуются и учителя, и ученики (ассистент,
+ * материалы, игры, флеш-карты, exam-prep): ученическое право не должно ломать
+ * доступ учителю (у учителя нет записи по ключу → isEnabled вернул бы false).
+ */
+function requirePermissionForStudents(key) {
+  const guard = requirePermission(key);
+  return (req, res, next) => {
+    const r = req.user?.role;
+    if (r === 'student' || r === 'free_student') return guard(req, res, next);
+    return next();
+  };
+}
+
 /* Alias: requireAuth = authMiddleware */
 const requireAuth = authMiddleware;
 
@@ -151,4 +167,4 @@ function optionalAuth(req, res, next) {
   next();
 }
 
-module.exports = { authMiddleware, requireAuth, optionalAuth, requireRole, requirePermission, perm, parentAuth, effectiveRoles };
+module.exports = { authMiddleware, requireAuth, optionalAuth, requireRole, requirePermission, requirePermissionForStudents, perm, parentAuth, effectiveRoles };