feat(api): permisos de menú en SQLite con API de administración

- SQLite (better-sqlite3 + TypeORM, WAL) con tabla menu_permissions
  (usuario web, patrón de ruta); archivo fuera del repo.
- GET /api/user/menu para el frontend; GET/PUT/DELETE /api/permissions
  solo para administradores (acceso "*").
- ADMIN_WEB_USERS garantiza el acceso total al arrancar; no se puede
  quitar el "*" al último administrador (409, dentro de una transacción).
- Patrones validados (`*`, `/modulo/ruta`, `/modulo/*`). A diferencia del
  frontend anterior, `/inventario/*` ya no habilita `/inventario-x`.
- Helper de e2e compartido (SAP simulado, SQLite en memoria).

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

apps/api/src/database/database.module.ts

@@ -0,0 +1,29 @@
+import { mkdirSync } from 'node:fs';
+import { dirname, resolve } from 'node:path';
+import { Module } from '@nestjs/common';
+import { TypeOrmModule } from '@nestjs/typeorm';
+import { AppConfigService } from '../config/app-config.service.js';
+
+/** Base SQLite local de la aplicación (hoy: permisos de menú). */
+@Module({
+  imports: [
+    TypeOrmModule.forRootAsync({
+      inject: [AppConfigService],
+      useFactory: (config: AppConfigService) => {
+        const database = config.get('SQLITE_PATH');
+        const inMemory = database === ':memory:';
+        if (!inMemory) mkdirSync(dirname(resolve(database)), { recursive: true });
+        return {
+          type: 'better-sqlite3' as const,
+          database,
+          enableWAL: !inMemory,
+          autoLoadEntities: true,
+          // Una sola tabla pequeña: el esquema se sincroniza solo. Cuando el
+          // esquema se estabilice por cliente, pasar a migraciones.
+          synchronize: true,
+        };
+      },
+    }),
+  ],
+})
+export class DatabaseModule {}