feat(后端): 添加授权体系、系统监控与试用期计提

按 2026-11-02 需求补齐计划交付后端能力：
- 角色授权：权限目录化，接口统一准入校验，未登记默认拒绝；
  管理员判断改为按数据库角色重新判定，防止权限码持有者绕过
- 系统监控：单进程采集资源、请求与异常指标，分钟级聚合，
  阈值配置化；敏感配置增加 repr 保护，Redis 密码 URL 转义
- 试用期计提：按回款日判定并写入快照，年度结清与调整单联动；
  人员模型补试用期、离职日期与工资版本历史字段
- 计提模板：公式骨架受控，页面维护名称与参数绑定
- T+ 采集：自动化配置表与进度查询

内置角色禁停用保护对齐模块注释；核算规则版本提为常量并
补充批量核算失败堆栈日志。

影响范围：后端全部模块、数据库迁移 V22-V28
验证：uv run ruff check 通过；922 个单元测试全部通过；
集成测试因本机 MySQL 数据卷被其他容器锁定暂未运行

backend/tests/integration/test_calc.py

@@ -11,7 +11,7 @@
 
 守的还有：核算粒度 #25（业务级一次性计提——第二笔回款仅登记进度）、
 已核算再核算 400、未指定批次 400、成本缺失行毛利按 0 计、负绩效照算、
-准入（normal 403 / marketing_ops 可用）。
+准入（普通账号和仅营销后勤角色拒绝，分配工资角色后可用）。
 """
 
 import uuid
@@ -338,8 +338,8 @@ class TestGuards:
         assert float(ledger["converted_profit"]) == -2000.0
         assert float(ledger["performance_amount"]) < 0
 
-    def test_准入_未指定账号拒绝_指定制作人可用(
-        self, client: TestClient, admin: dict, normal: dict, make_user, auth_headers, monkeypatch
+    def test_准入_未授权账号拒绝_分配工资角色后可用且无需绑定(
+        self, client: TestClient, admin: dict, normal: dict, make_user, auth_headers
     ) -> None:
         _biz, receipt = _create_full_chain(
             client,
@@ -354,9 +354,13 @@ class TestGuards:
 
         ops = make_user(["marketing_ops"])
         ops["headers"] = auth_headers(ops)
-        from app.core.config import get_settings
         assert _calc(client, ops["headers"], receipt["id"]).status_code == 403
-        monkeypatch.setattr(get_settings(), "payroll_maker_user_id", ops["id"])
+        from app.models import AuthorizationSetting, Role, UserRole
+        with get_session_factory()() as session:
+            session.get(AuthorizationSetting, 1).maker_user_id = None
+            role = session.scalar(select(Role).where(Role.role_code == "payroll_maker"))
+            session.add(UserRole(user_id=ops["id"], role_id=role.id))
+            session.commit()
         resp = _calc(client, ops["headers"], receipt["id"])
         assert resp.status_code == 200, resp.text