完善项目级权限与项目管理入口

- 新增项目成员候选用户接口，避免 PM 读取全局用户列表
- 按项目角色和权限矩阵控制项目管理、成员、中心与审计入口
- 合并侧边栏管理后台入口，统一从项目管理进入成员等模块
- 加强成员管理安全约束，禁止 PM 修改自己、系统管理员或更高权限角色
- 修复多项目角色缓存串用问题，并补充前后端回归测试

frontend/src/api/members.ts

@@ -1,9 +1,12 @@
 import { apiDelete, apiGet, apiPatch, apiPost } from "./axios";
-import type { StudyMember } from "../types/api";
+import type { StudyMember, UserInfo } from "../types/api";
 
 export const listMembers = (studyId: string, params?: Record<string, any>) =>
   apiGet<StudyMember[] | { items: StudyMember[] }>(`/api/v1/studies/${studyId}/members/`, { params });
 
+export const listMemberCandidates = (studyId: string, params?: Record<string, any>) =>
+  apiGet<UserInfo[]>(`/api/v1/studies/${studyId}/members/candidates`, { params, suppressErrorMessage: true });
+
 export const addMember = (studyId: string, payload: { user_id: string; role_in_study: string; is_active?: boolean }) =>
   apiPost<StudyMember>(`/api/v1/studies/${studyId}/members/`, payload);