fix: 系统性预防角色测试高频问题（5 方案落地）

P0 — 默认拒绝 + 强制守卫:
- 创建 routeConfig.ts 作为前端路由权限的单一真相源
- TypeScript 强制每个路由声明非空权限数组，不可能遗漏
- 自动生成 ROUTE_PERMISSIONS 和 FROZEN_ROUTES
- 修正 3 个前端权限码不匹配后端

P0 — CI 权限扫描:
- 新增 tools/check_permissions.py 校验脚本
- 发现并修复 tenant.manage 未注册问题

P1 — 聚合接口容错:
- erp-core 新增 safe_aggregate 工具函数
- 仪表盘统计 handler 重构

P1 — 状态机一致性自检:
- validation.rs 新增 3 个自检测试

fix: lint-staged eslint Windows 兼容性

.lintstagedrc.js

@@ -3,7 +3,10 @@ module.exports = {
     'cargo fmt --check --',
     () => 'cargo clippy -p erp-health -p erp-server -- -D warnings',
   ],
-  'apps/web/src/**/*.{ts,tsx}': ['cd apps/web && npx eslint --fix'],
+  'apps/web/src/**/*.{ts,tsx}': () =>
+    process.platform === 'win32'
+      ? 'pushd apps/web && npx eslint --fix src/ & popd'
+      : 'cd apps/web && npx eslint --fix src/',
   'apps/web/src/**/*.test.{ts,tsx}': [
     'cd apps/web && npx vitest run --reporter=verbose',
   ],