feat(api): permisos de menú en SQLite con API de administración

- SQLite (better-sqlite3 + TypeORM, WAL) con tabla menu_permissions
  (usuario web, patrón de ruta); archivo fuera del repo.
- GET /api/user/menu para el frontend; GET/PUT/DELETE /api/permissions
  solo para administradores (acceso "*").
- ADMIN_WEB_USERS garantiza el acceso total al arrancar; no se puede
  quitar el "*" al último administrador (409, dentro de una transacción).
- Patrones validados (`*`, `/modulo/ruta`, `/modulo/*`). A diferencia del
  frontend anterior, `/inventario/*` ya no habilita `/inventario-x`.
- Helper de e2e compartido (SAP simulado, SQLite en memoria).

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

apps/api/README.md

@@ -32,3 +32,25 @@ Guard global: todo `/api/*` exige `Authorization: Bearer <token>` salvo rutas `@
 ```bash
 curl -s -H 'Content-Type: application/json' -d '{"username":"USUARIO","password":"CLAVE"}' localhost:3000/api/auth/login
 ```
+
+## Permisos de menú
+
+Se guardan en SQLite (`SQLITE_PATH`, por defecto `./data/app.sqlite`, fuera del repo). Un usuario web (`U_WEB_USER`) tiene una lista de patrones de ruta:
+
+| Patrón | Permite |
+|---|---|
+| `*` | Todo (administrador) |
+| `/ventas/*` | `/ventas` y todo lo que cuelga de `/ventas/` (no `/ventas-x`) |
+| `/ventas/ordenes` | Solo esa ruta |
+
+| Endpoint | Quién | Descripción |
+|---|---|---|
+| `GET /api/user/menu` | Cualquier sesión | `{allowedPaths}` del usuario actual |
+| `GET /api/permissions`, `GET /api/permissions/:webUser` | Administrador | Consulta |
+| `PUT /api/permissions/:webUser` `{paths}` | Administrador | Reemplaza los permisos |
+| `DELETE /api/permissions/:webUser` | Administrador | Elimina los permisos |
+
+- `ADMIN_WEB_USERS=george,ana` garantiza `*` a esos usuarios en cada arranque (nunca se queda el sistema sin acceso).
+- El sistema no deja quitar el acceso total al último administrador (409).
+- El esquema se sincroniza automáticamente (`synchronize`); pasar a migraciones cuando se estabilice por cliente.
+- Si `better-sqlite3` falla al instalar en una máquina nueva: `npm rebuild better-sqlite3`.