feat(permissions): +10 прав ролей с энфорсом (Доступ · роли)

Реестр (registry.js) пополнен правами, которыми раньше нельзя было управлять:
• Учитель: classroom.host (онлайн-уроки), livequiz.host (живые викторины),
  simbuilder.use (конструктор симуляций), flashcards.manage (общие колоды).
• Ученик: homework.submit (сдача ДЗ), materials.save («Мои материалы»),
  assistant.use (ИИ-ассистент), games.play (учебные игры),
  flashcards.access / exam.access (доступ к разделам).
Все default=1 → текущее поведение сохранено; админ может выключить по роли/классу/юзеру.

Энфорс на роутах: учительские — requirePermission (роуты уже teacher-only);
ученические на ОБЩИХ роутах (assistant/materials/games/flashcards/exam-prep) —
новый requirePermissionForStudents(key) (учитель/админ проходят всегда, проверка
только ученику — иначе isEnabled=false сломал бы учителя). PERM_DEFAULTS строится
из реестра → фолбэк до сидирования = enabled, никто не блокируется. Группы UI —
существующие (новых ярлыков нет). seedDefaults авто-сидит новые ключи на чтении.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

backend/src/routes/customSims.js

@@ -5,7 +5,7 @@
  * НЕ blanket requireRole на роутере: список/чтение доступны и ученику (published). */
 const express = require('express');
 const router  = express.Router();
-const { authMiddleware, requireRole } = require('../middleware/auth');
+const { authMiddleware, requireRole, requirePermission } = require('../middleware/auth');
 const { requireFeature } = require('../middleware/features');
 const c = require('../controllers/customSimController');
 
@@ -22,9 +22,9 @@ router.get('/:id', c.get);
 // @public-by-design: router-level authMiddleware (above) + ownership/published check in handler
 router.get('/:id/related', c.related);
 
-router.post('/', gate, requireRole('teacher', 'admin'), c.create);
+router.post('/', gate, requireRole('teacher', 'admin'), requirePermission('simbuilder.use'), c.create);
 // @public-by-design: router-level authMiddleware (above) + per-row ownership check in handler
-router.put('/:id',    gate, requireRole('teacher', 'admin'), c.update);
+router.put('/:id',    gate, requireRole('teacher', 'admin'), requirePermission('simbuilder.use'), c.update);
 // @public-by-design: router-level authMiddleware (above) + per-row ownership check in handler
 router.delete('/:id', gate, requireRole('teacher', 'admin'), c.remove);