feat(web): login, sesión, interceptor, guards y layout con menú por permisos

- Login contra POST /api/auth/login; SessionStore en localStorage con el
  timeout deslizante que informa el servidor (sessionTimeoutMinutes).
- Interceptor: Bearer en /api, renueva actividad y, ante 401, cierra la
  sesión y vuelve al login recordando la ruta (solo rutas internas).
- Guards: sesión, invitado y permiso por pantalla (data.path). Corrige que
  inject() no puede usarse tras un await en permissionGuard.
- Layout con barra superior (empresa, usuario, tema, salir) y menú lateral
  filtrado por GET /api/user/menu; plegable y con botón en pantallas angostas.
- Menú único en libs/sap-types (MENU, filterMenu); el backend verifica por
  test que las rutas de permiso de sus recursos existan en él.
- Una ruta por pantalla del menú; las no construidas muestran "no disponible".
- Verificado en Chrome headless contra el backend y SAP reales: redirección
  sin sesión, menú de 20 pantallas, navegación, plegado, tema oscuro y
  persistencia, vista móvil, salir, token inválido y credenciales malas.

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

apps/web/src/app/layout/main-layout.ts

@@ -0,0 +1,43 @@
+import { ChangeDetectionStrategy, Component, inject, signal } from '@angular/core';
+import { RouterLink, RouterLinkActive, RouterOutlet } from '@angular/router';
+import { AuthService } from '../core/auth/auth.service';
+import { SessionStore } from '../core/auth/session.store';
+import { MenuService } from '../core/menu/menu.service';
+import { ThemeSwitcher } from '../core/theme/theme-switcher';
+
+/** Marco de la aplicación: barra superior, menú lateral filtrado por permisos y contenido. */
+@Component({
+  selector: 'sbo-main-layout',
+  changeDetection: ChangeDetectionStrategy.OnPush,
+  imports: [RouterOutlet, RouterLink, RouterLinkActive, ThemeSwitcher],
+  templateUrl: './main-layout.html',
+  styleUrl: './main-layout.css',
+})
+export class MainLayout {
+  private readonly auth = inject(AuthService);
+  protected readonly session = inject(SessionStore);
+  protected readonly menu = inject(MenuService);
+
+  protected readonly sidebarOpen = signal(false);
+  private readonly collapsed = signal<ReadonlySet<string>>(new Set());
+
+  protected isOpen(moduleId: string): boolean {
+    return !this.collapsed().has(moduleId);
+  }
+
+  protected toggle(moduleId: string): void {
+    this.collapsed.update((s) => {
+      const next = new Set(s);
+      if (!next.delete(moduleId)) next.add(moduleId);
+      return next;
+    });
+  }
+
+  protected retryMenu(): void {
+    void this.menu.ensureLoaded();
+  }
+
+  protected logout(): void {
+    void this.auth.logout();
+  }
+}