fix(rbac) : rattache le rôle de base « user » et gate le frontend par permission

Un user avec des permissions sur le rôle RBAC « user » ne voyait rien : le
ROLE_USER legacy n'a aucun lien avec le RBAC et getEffectivePermissions() ne lit
que rbacRoles + permissions directes, alors qu'aucun user n'était rattaché au
rôle « user » (table user_role vide, jamais backfillée).

Backend
- DefaultUserRoleAssigner + UserDefaultRoleListener (prePersist) : tout nouvel
  utilisateur est rattaché au rôle « user » sur tous les chemins de persistance.
- Commande app:assign-default-roles (backfill idempotent) + ajout au deploy.sh.
- AppFixtures : seed des rôles système avant la création des users.

Frontend (gating par permission au lieu de ROLE_ADMIN legacy)
- Nouveau middleware « permission » + augmentation PageMeta : definePageMeta
  ({ permission }) (string = requise, array = any), ROLE_ADMIN bypasse.
- Pages directory/reporting/admin gatées par permission ; SidebarFilter accepte
  une liste de permissions (any) ; section admin sans gate de rôle.
- team-absences reste en ROLE_ADMIN (module Absence non RBAC-isé côté backend).

tests/Unit/Shared/Sidebar/SidebarFilterTest.php

@@ -127,4 +127,33 @@ final class SidebarFilterTest extends TestCase
         $out = SidebarFilter::filter($sections, [], [], ['core.users.view']);
         self::assertCount(1, $out['sections'][0]['items']);
     }
+
+    public function testItemWithPermissionArrayIsVisibleWhenAnyGranted(): void
+    {
+        $sections = [[
+            'label' => 's', 'icon' => 'i',
+            'items' => [[
+                'label'      => 'a', 'to' => '/a', 'icon' => 'i',
+                'permission' => ['directory.clients.view', 'directory.prospects.view', 'directory.providers.view'],
+            ]],
+        ]];
+
+        // L'utilisateur ne détient qu'une des permissions listées => item visible (any).
+        $out = SidebarFilter::filter($sections, [], [], ['directory.prospects.view']);
+        self::assertCount(1, $out['sections'][0]['items']);
+    }
+
+    public function testItemWithPermissionArrayIsHiddenWhenNoneGranted(): void
+    {
+        $sections = [[
+            'label' => 's', 'icon' => 'i',
+            'items' => [[
+                'label'      => 'a', 'to' => '/a', 'icon' => 'i',
+                'permission' => ['directory.clients.view', 'directory.prospects.view'],
+            ]],
+        ]];
+
+        $out = SidebarFilter::filter($sections, [], [], ['reporting.view']);
+        self::assertSame([], $out['sections']);
+    }
 }