feat(perm): 项目 PM 共管接口权限与监控并细化 PM 写权限边界

- deps 新增 list_active_pm_study_ids、is_active_project_pm 与
  require_admin_or_any_project_pm 依赖，用于把 PM 项目范围带进鉴权与
  监控。get_cra_site_scope 内部延后导入 site CRUD，避免循环依赖。
- system_permissions API 改用 PM/ADMIN 双角色入口，permissions/monitoring
  系统级权限新增 PM 配额，并细化访问日志、告警、监控指标的可见范围。
- members API 调整：项目 PM 仅可管理低于 PM 的项目角色，禁止互相
  改写或授予 PM。
- api_permissions API 增加 GET /api-permissions/me，返回当前用户在该
  项目的有效权限矩阵；保存权限矩阵时校验 PM 行为不被篡改。
- core/api_permissions：新增立项配置接口键、PM 默认拥有的监控/权限
  系统级条目，并在权限元信息中标注 PM 共享角色。
- core/project_permissions：role_has_api_permission 命中默认角色矩阵；
  replace_api_endpoint_permissions 改为部分更新且永不持久化 ADMIN/PM。
- studies setup-config 各端点改用接口级权限装饰器，与新的 setup_config
  权限键对齐。permission_monitor 新增 get_metrics 摘要供 PM 视图调用。
- 测试：新增 test_admin_pm_permissions 覆盖 PM 系统级权限、监控范围和
  成员管理边界；conftest 兼容 SA_UUID 列；权限相关用例同步移除已失效
  的 module_permission 链路。

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

backend/tests/test_api_permissions.py

@@ -64,6 +64,23 @@ async def test_default_matrix_covers_every_role_and_permission(db_session: Async
             assert matrix[role][endpoint_key]["allowed"] is (role in config["default_roles"])
 
 
+@pytest.mark.asyncio
+async def test_default_matrix_round_trips_to_backend_checks(db_session: AsyncSession):
+    """默认权限矩阵应与后端实际鉴权结果一致。"""
+    study_id = uuid.uuid4()
+
+    for role in PROJECT_PERMISSION_ROLES:
+        for endpoint_key, config in API_ENDPOINT_PERMISSIONS.items():
+            allowed = await role_has_api_permission(
+                db_session,
+                study_id,
+                role,
+                endpoint_key,
+                check_prerequisites=False,
+            )
+            assert allowed is (role in config["default_roles"])
+
+
 @pytest.mark.asyncio
 async def test_full_permission_matrix_round_trips_to_backend_checks(db_session: AsyncSession):
     """逐一验证前端提交格式会落库，并被后端鉴权函数按相同结果读取。"""
@@ -73,17 +90,18 @@ async def test_full_permission_matrix_round_trips_to_backend_checks(db_session:
     set_permission_monitor(monitor)
 
     study_id = uuid.uuid4()
+    configurable_roles = [role for role in PROJECT_PERMISSION_ROLES if role != "PM"]
     payload = {
         role: {
             endpoint_key: index % 2 == role_index % 2
             for index, endpoint_key in enumerate(API_ENDPOINT_PERMISSIONS)
         }
-        for role_index, role in enumerate(PROJECT_PERMISSION_ROLES)
+        for role_index, role in enumerate(configurable_roles)
     }
 
     matrix = await replace_api_endpoint_permissions(db_session, study_id, payload)
 
-    for role in PROJECT_PERMISSION_ROLES:
+    for role in configurable_roles:
         for endpoint_key, expected in payload[role].items():
             assert matrix[role][endpoint_key]["allowed"] is expected
             allowed = await role_has_api_permission(