feat: RBAC Phase 2e - Verwaltung auf @RequirePermission umgestellt, Coverage-Test aktiviert

Users, Webhooks, Automation, Import, AuditLog: die klassenweiten
@Roles(Role.ADMIN)-Blankets (die gefaehrlichsten der Migration, da sie
JEDE Route der Klasse abdecken) durch pro-Route @RequirePermission
ersetzt. Effektiver Zugriff unveraendert: ADMIN besitzt weiterhin alle
betroffenen Permission-Keys, jede andere Rolle bleibt ausgeschlossen.

Damit ist kein @Roles(...) mehr in der Codebase in Benutzung - alle
23 Controller laufen jetzt vollstaendig ueber @RequirePermission.
test/authorization-coverage.e2e-spec.ts (bisher it.skip mit TODO fuer
"nach Phase 2") ist jetzt scharf geschaltet und bestaetigt: 0 Routen
ohne Rechte-Pruefung, 0 ungueltige Permission-Keys.

Verifiziert: tsc, lint, build, unit (222/222), volle e2e-Suite
159/159 gruen - keine uebersprungenen Tests mehr.

Co-Authored-By: Claude Sonnet 5 <[email protected]>

ApiCore-Backend/test/authorization-coverage.e2e-spec.ts

@@ -22,12 +22,7 @@ const ALLOWLIST = new Set([
 ]);
 
 describe('Authorization coverage (e2e)', () => {
-  // TODO(RBAC migration): re-enable once every controller carries
-  // @RequirePermission (Phase 2 of the RBAC rollout). Right now most GET
-  // routes have no @Roles/@RequirePermission at all (authenticated-only),
-  // which this test correctly flags — that's the known, tracked starting
-  // state, not a regression to fix here.
-  it.skip('every non-public route requires a role or a catalog-valid permission', async () => {
+  it('every non-public route requires a role or a catalog-valid permission', async () => {
     const moduleRef = await Test.createTestingModule({
       imports: [AppModule, DiscoveryModule],
     }).compile();