feat(report): 报表统计四表查询与 Excel 签字导出

- 四表接口 /api/v1/reports/*：个人明细（全筛选 summary）、部门汇总（团队基数与月结聚合同源、12.5%/5% 分列、零行经理、冻结对照）、业务统计（排除聚合行）、回款统计（8 档区间恒在、回款金额按 receipt_id 去重防分摊拆行翻倍）
- Excel 导出：公司页眉/财务复核栏/领导签字栏/日期/版本、Decimal 原值 + number_format、文本防公式注入、2 万行超限 400、导出行为入操作日志
- manager_share 共享模块：月结聚合与报表部门汇总同源取参与分桶（薄委托保留测试入口）
- 区间元数据落 core/report_meta（repository 需要类型，避免反向依赖 service 层）
- 准入 require_roles(admin/finance/leader)，支持自定义 403 文案

Co-Authored-By: Claude Code <noreply@anthropic.com>

backend/app/api/deps.py

@@ -119,20 +119,23 @@ AdminUser = Annotated[User, Depends(require_admin)]
 LoginUser = Annotated[User, Depends(get_current_user)]
 
 
-def require_roles(*role_codes: str):
+def require_roles(*role_codes: str, message: str = "无权访问审批管理"):
     """要求当前用户具备任一指定角色（依赖工厂）。
 
     与 require_admin 的差别：admin 不是天然放行——传入集合里显式含
     ROLE_ADMIN 才可见。用于审批等模块的粗粒度准入；节点级准入仍由
     service 按单据状态二次校验（双层：模块可见 ≠ 可操作）。
 
+    ``message`` 允许各模块替换 403 文案（默认值保持审批模块原文案，
+    避免既有调用与测试变动）。
+
     :raises ForbiddenError: 已登录但不具备任一指定角色（403）
     """
 
     def _checker(current_user: Annotated[User, Depends(get_current_user)]) -> User:
         codes = set(user_repository.get_role_codes(current_user))
         if not codes & set(role_codes):
-            raise ForbiddenError("无权访问审批管理")
+            raise ForbiddenError(message)
         return current_user
 
     return _checker