feat(perm): 项目 PM 共管接口权限与监控并细化 PM 写权限边界

- deps 新增 list_active_pm_study_ids、is_active_project_pm 与
  require_admin_or_any_project_pm 依赖，用于把 PM 项目范围带进鉴权与
  监控。get_cra_site_scope 内部延后导入 site CRUD，避免循环依赖。
- system_permissions API 改用 PM/ADMIN 双角色入口，permissions/monitoring
  系统级权限新增 PM 配额，并细化访问日志、告警、监控指标的可见范围。
- members API 调整：项目 PM 仅可管理低于 PM 的项目角色，禁止互相
  改写或授予 PM。
- api_permissions API 增加 GET /api-permissions/me，返回当前用户在该
  项目的有效权限矩阵；保存权限矩阵时校验 PM 行为不被篡改。
- core/api_permissions：新增立项配置接口键、PM 默认拥有的监控/权限
  系统级条目，并在权限元信息中标注 PM 共享角色。
- core/project_permissions：role_has_api_permission 命中默认角色矩阵；
  replace_api_endpoint_permissions 改为部分更新且永不持久化 ADMIN/PM。
- studies setup-config 各端点改用接口级权限装饰器，与新的 setup_config
  权限键对齐。permission_monitor 新增 get_metrics 摘要供 PM 视图调用。
- 测试：新增 test_admin_pm_permissions 覆盖 PM 系统级权限、监控范围和
  成员管理边界；conftest 兼容 SA_UUID 列；权限相关用例同步移除已失效
  的 module_permission 链路。

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

backend/app/core/project_permissions.py

@@ -2,7 +2,7 @@ from __future__ import annotations
 
 import uuid
 
-from sqlalchemy import delete, select
+from sqlalchemy import select
 from sqlalchemy.ext.asyncio import AsyncSession
 
 from app.models.api_endpoint_permission import ApiEndpointPermission
@@ -48,13 +48,21 @@ async def role_has_api_permission(
     check_prerequisites: bool = True,
 ) -> bool:
     """检查角色是否有权访问特定接口"""
-    if role == "ADMIN" or role == "PM":
+    if role == "ADMIN":
         return True
 
     permissions = await _get_project_permission_overrides(db, study_id)
+
+    if role == "PM":
+        override = permissions.get("PM", {}).get(endpoint_key)
+        if override is not None:
+            return override
+        return True
+
     allowed = permissions.get(role or "", {}).get(endpoint_key)
     if allowed is None:
-        return False
+        config = API_ENDPOINT_PERMISSIONS.get(endpoint_key)
+        allowed = bool(config and role in config.get("default_roles", []))
 
     if not allowed:
         return False
@@ -78,7 +86,7 @@ async def get_missing_prerequisites(
     endpoint_key: str,
 ) -> list[str]:
     """获取缺失的前置权限列表"""
-    if role == "ADMIN" or role == "PM":
+    if role == "ADMIN":
         return []
 
     missing = []
@@ -131,27 +139,36 @@ async def replace_api_endpoint_permissions(
     study_id: uuid.UUID,
     payload: dict[str, dict[str, bool]],
 ) -> dict[str, dict[str, dict[str, bool]]]:
-    """替换项目的接口级权限矩阵"""
-    await db.execute(
-        delete(ApiEndpointPermission).where(
-            ApiEndpointPermission.study_id == study_id,
-        )
-    )
+    """更新 payload 中指定的角色权限项。未提交的权限项保持不变。
 
+    ADMIN 与 PM 权限不会被持久化：ADMIN 始终拥有全部权限，PM 默认拥有
+    全部项目权限，应当通过专门的渠道而不是项目权限矩阵调整。
+    """
     for role, endpoints in payload.items():
         if role in ("ADMIN", "PM"):
             continue
         for endpoint_key, allowed in endpoints.items():
             if endpoint_key not in API_ENDPOINT_PERMISSIONS:
                 continue
-            db.add(
-                ApiEndpointPermission(
-                    study_id=study_id,
-                    role=role,
-                    endpoint_key=endpoint_key,
-                    allowed=allowed,
+            result = await db.execute(
+                select(ApiEndpointPermission).where(
+                    ApiEndpointPermission.study_id == study_id,
+                    ApiEndpointPermission.role == role,
+                    ApiEndpointPermission.endpoint_key == endpoint_key,
                 )
             )
+            existing = result.scalar_one_or_none()
+            if existing:
+                existing.allowed = allowed
+            else:
+                db.add(
+                    ApiEndpointPermission(
+                        study_id=study_id,
+                        role=role,
+                        endpoint_key=endpoint_key,
+                        allowed=allowed,
+                    )
+                )
 
     await db.commit()