feat(rollen): granulares Rechte-System (Roadmap Phase 6, letztes Modul)

Additiv neben dem bestehenden 4-Rollen-System (mitarbeiter/material-
verantwortlicher/leitungsverantwortlicher/administration bleiben unverändert,
kein Breaking Change): Admin kann jetzt eigene Rollen (z.B. "Materialwart",
"Helfer" aus der Ursprungs-Anforderung) mit frei wählbaren Einzelrechten aus
einem Berechtigungs-Katalog anlegen und Benutzern zuweisen - auch Benutzern
ganz ohne feste RolleTyp-Zuordnung.

Neue Tabellen: berechtigung (Katalog), rolle (custom, admin-anlegbar),
rolle_berechtigung (M:N), benutzer_rolle_zuordnung (M:N, eigene Tabelle statt
Wiederverwendung des ENUM-basierten benutzer_rolle).

require_roles_or_permission() kombiniert beide Systeme: bestehende feste
Rollen ODER eine passende granulare Berechtigung. Auf die vom Nutzer genannten
Beispiel-Endpunkte angewendet: Material anlegen/bearbeiten, Lagerbewegung
durchführen, Mangel melden/lesen/bearbeiten, Prüfung durchführen - weitere
Endpunkte folgen bei Bedarf nach demselben Muster (require_permission()/
require_roles_or_permission() stehen jetzt als Bausteine bereit).

Neue Endpunkte: GET /berechtigungen, CRUD /rollen, PUT/DELETE
/rollen/{id}/berechtigungen/{id}, PUT/DELETE /benutzer/{id}/rollen/{id}.

Frontend: neuer Admin-Tab "Rollen & Rechte" (Rolle anlegen, Rechte togglen,
Benutzer zuweisen/entfernen).

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01KC8HYvv6UkCVYheYiTw9DD

backend/app/api/v1/endpoints/mangel.py

@@ -5,7 +5,7 @@ from fastapi import APIRouter, Depends, HTTPException, status
 from sqlalchemy import select
 from sqlalchemy.ext.asyncio import AsyncSession
 
-from app.api.deps import require_roles
+from app.api.deps import require_roles_or_permission
 from app.db.session import get_db
 from app.models.auth import KnotenTyp, RolleTyp, Systemknoten
 from app.models.mangel import Mangel, MangelStatus
@@ -16,14 +16,21 @@ from app.services.mangel import aendere_status
 
 router = APIRouter()
 
-_mitarbeiter_plus = require_roles(
+_ALLE_ROLLEN = (
     RolleTyp.mitarbeiter,
     RolleTyp.materialverantwortlicher,
     RolleTyp.leitungsverantwortlicher,
     RolleTyp.administration,
 )
-_materialverantwortliche = require_roles(
-    RolleTyp.administration, RolleTyp.materialverantwortlicher, RolleTyp.leitungsverantwortlicher
+# Roadmap Phase 6: zusätzlich über eine granulare custom-Rolle (z.B. "Helfer")
+# erreichbar, auch wenn diese keine der vier festen RolleTyp-Rollen trägt.
+_darf_lesen = require_roles_or_permission(*_ALLE_ROLLEN, berechtigung="mangel.lesen")
+_darf_melden = require_roles_or_permission(*_ALLE_ROLLEN, berechtigung="mangel.melden")
+_materialverantwortliche = require_roles_or_permission(
+    RolleTyp.administration,
+    RolleTyp.materialverantwortlicher,
+    RolleTyp.leitungsverantwortlicher,
+    berechtigung="mangel.bearbeiten",
 )
 
 
@@ -37,7 +44,7 @@ async def liste_maengel(
     objekt_id: int | None = None,
     status_filter: MangelStatus | None = None,
     db: AsyncSession = Depends(get_db),
-    _=Depends(_mitarbeiter_plus),
+    _=Depends(_darf_lesen),
 ) -> list[Mangel]:
     """Prompt-Erweiterung (Mangel-Modul): jeder Mitarbeiter+ darf lesen (Mängel
     sind für alle im Einsatzalltag relevant), Status ändern bleibt
@@ -54,7 +61,7 @@ async def liste_maengel(
 
 @router.post("/maengel", response_model=MangelRead, status_code=status.HTTP_201_CREATED)
 async def melde_mangel(
-    payload: MangelCreate, db: AsyncSession = Depends(get_db), current_user=Depends(_mitarbeiter_plus)
+    payload: MangelCreate, db: AsyncSession = Depends(get_db), current_user=Depends(_darf_melden)
 ) -> Mangel:
     objekt = await db.get(Objekt, payload.objekt_id)
     if objekt is None: