feat(api): permisos de menú en SQLite con API de administración

- SQLite (better-sqlite3 + TypeORM, WAL) con tabla menu_permissions
  (usuario web, patrón de ruta); archivo fuera del repo.
- GET /api/user/menu para el frontend; GET/PUT/DELETE /api/permissions
  solo para administradores (acceso "*").
- ADMIN_WEB_USERS garantiza el acceso total al arrancar; no se puede
  quitar el "*" al último administrador (409, dentro de una transacción).
- Patrones validados (`*`, `/modulo/ruta`, `/modulo/*`). A diferencia del
  frontend anterior, `/inventario/*` ya no habilita `/inventario-x`.
- Helper de e2e compartido (SAP simulado, SQLite en memoria).

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

apps/api/src/config/env.schema.ts

@@ -19,6 +19,19 @@ export const envSchema = z
           .filter(Boolean),
       ),
     LOG_LEVEL: z.enum(['error', 'warn', 'log', 'debug', 'verbose']).default('log'),
+    // Base SQLite local (permisos de menú). `:memory:` para pruebas.
+    SQLITE_PATH: z.string().min(1).default('./data/app.sqlite'),
+    // Usuarios web (U_WEB_USER) que siempre tienen acceso total ("*"); se
+    // garantiza al arrancar para no quedar fuera por un error de permisos.
+    ADMIN_WEB_USERS: z
+      .string()
+      .default('')
+      .transform((v) =>
+        v
+          .split(',')
+          .map((s) => s.trim())
+          .filter(Boolean),
+      ),
     // Inactividad tras la cual caduca la sesión web (deslizante).
     SESSION_TIMEOUT_MINUTES: z.coerce.number().int().positive().default(30),