fix(review) : resout la regression drawers RBAC + race snapshot + stale-data admin

Issues remontees par la seconde passe de review de la PR #9 :

- Regression `GET /api/permissions` 403 silencieux sur les drawers RBAC
  (UserRbacDrawer, RoleDrawer) apres le fix precedent qui imposait
  `core.permissions.view`. Les users porteurs de `core.users.manage` /
  `core.roles.manage` ne voyaient plus le catalogue pour hydrater leurs
  checkboxes. Elargit la security expression sur Permission en OR avec
  ces deux codes : les gestionnaires ont par nature besoin du catalogue
  (codes/libelles seuls, pas de secret expose).

- Race condition dans UserRbacProcessor : `restoreAbsentCollections()`
  lisait le snapshot Doctrine hors transaction, puis `wrapInTransaction()`
  flushait plus tard. Fenetre courte mais reelle ou une modification
  concurrente aurait pu etre annulee par une restauration depuis un
  snapshot stale. Deplace l'appel a l'interieur de la transaction.

- Stale-data sur les pages admin users / roles / sites : meme pattern
  try/finally sans catch que sur audit-log (deja corrige). Aligne les
  trois pages avec un catch qui reset la liste locale.

- Tests manquants : garde de non-regression sur PATCH /rbac sans `sites`
  (assure que la collection elle-meme est preservee, pas seulement le
  currentSite). Couverture positive sur GET /api/permissions pour les
  trois branches OR de la security expression (permissions.view,
  users.manage, roles.manage) via des users non-admin.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

makefile

@@ -73,8 +73,10 @@ seed-e2e:
 
 # Bootstrap one-time pour les tests E2E sur un nouveau poste :
 #   1. Telecharge Chromium dans ~/.cache/ms-playwright
-#   2. Installe les deps systeme (libnss3, libasound, libatk, etc.) via
-#      la liste officielle Playwright — demande sudo.
+#   2. Installe les deps systeme (libnss3, libasound, libatk, etc.) :
+#      - Ubuntu/Debian : `playwright install-deps` (officiel)
+#      - Fedora/RHEL   : liste dnf equivalente (playwright ne gere pas dnf)
+#      - Autre         : avertissement, a faire a la main.
 #
 # Le `sudo env "PATH=$$PATH"` est necessaire car avec NVM, `sudo npx` ne
 # trouve pas npx (le PATH de sudo est vide par defaut). On preserve
@@ -84,7 +86,21 @@ seed-e2e:
 # bouger entre versions majeures).
 install-e2e-deps:
 	cd frontend && npx playwright install chromium
-	cd frontend && sudo env "PATH=$$PATH" npx playwright install-deps chromium
+	@if command -v apt-get >/dev/null 2>&1; then \
+		echo ">> Detected apt-get — using playwright install-deps"; \
+		cd frontend && sudo env "PATH=$$PATH" npx playwright install-deps chromium; \
+	elif command -v dnf >/dev/null 2>&1; then \
+		echo ">> Detected dnf — installing Chromium deps via dnf"; \
+		sudo dnf install -y \
+			nss nspr dbus-libs atk at-spi2-atk at-spi2-core cups-libs \
+			libdrm libX11 libXcomposite libXdamage libXfixes libXrandr \
+			libXext libXtst libxkbcommon mesa-libgbm alsa-lib \
+			pango cairo libwayland-client; \
+	else \
+		echo ">> No supported package manager detected (apt-get / dnf)."; \
+		echo ">> Install Chromium system libs manually, then re-run test-e2e."; \
+		exit 1; \
+	fi
 
 # Lance les tests E2E Playwright sur l'host. Pre-requis :
 #   - `make install-e2e-deps` (une fois par poste)