feat(api): permisos de menú en SQLite con API de administración

- SQLite (better-sqlite3 + TypeORM, WAL) con tabla menu_permissions
  (usuario web, patrón de ruta); archivo fuera del repo.
- GET /api/user/menu para el frontend; GET/PUT/DELETE /api/permissions
  solo para administradores (acceso "*").
- ADMIN_WEB_USERS garantiza el acceso total al arrancar; no se puede
  quitar el "*" al último administrador (409, dentro de una transacción).
- Patrones validados (`*`, `/modulo/ruta`, `/modulo/*`). A diferencia del
  frontend anterior, `/inventario/*` ya no habilita `/inventario-x`.
- Helper de e2e compartido (SAP simulado, SQLite en memoria).

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

apps/api/src/config/env.schema.spec.ts

@@ -16,6 +16,12 @@ describe('validateEnv', () => {
     expect(env.SAPB1_SL_VERIFY_SSL).toBe(true);
     expect(env.SAPB1_SL_CA_FILE).toBeUndefined();
     expect(env.SAPB1_SL_MAX_CONCURRENCY).toBe(1);
+    expect(env.SQLITE_PATH).toBe('./data/app.sqlite');
+    expect(env.ADMIN_WEB_USERS).toEqual([]);
+  });
+
+  it('separa ADMIN_WEB_USERS', () => {
+    expect(validateEnv({ ...sap, ADMIN_WEB_USERS: 'george, ana ,' }).ADMIN_WEB_USERS).toEqual(['george', 'ana']);
   });
 
   it('quita la barra final de la URL de SAP', () => {