feat(core) : add idempotent app:seed-rbac command (roles + matrix + demo users)

- RbacSeeder : source unique des 4 roles metier (bureau/compta/commerciale/usine),
  de la matrice RBAC § 2.7 (role -> permissions) et des comptes demo. Operations
  idempotentes et non destructives (ensureRoles / attachMatrix / ensureDemoUsers).
- app:seed-rbac : commande applicative presente en build prod (contrairement aux
  fixtures require-dev). Sans option : roles + matrice. --with-demo-users +
  --password / RBAC_DEMO_PASSWORD : un compte demo par role. Garde-fou : exit
  non-zero + invite a lancer app:sync-permissions si les codes manquent.
- RbacDemoFixtures (dev/test) : appelle le meme seeder (DRY). La matrice est
  attachee post-sync par app:seed-rbac (la table permission est purgee au load).
- makefile : etape seed-rbac apres sync-permissions (db-reset + test-db-setup).
- Doc deploiement (README) + credentials des comptes demo (CLAUDE.md / README).

makefile

@@ -198,8 +198,11 @@ migration-migrate:
 #     doctrine:fixtures:load essaie de DELETE toutes les tables connues
 #     via les mappings — si fake_site_aware_entity est mappe mais absent
 #     en DB, le purger crash.
-#  3. fixtures -> sync-permissions : fixtures:load purge la table permission,
-#     donc sync doit passer apres.
+#  3. fixtures -> sync-permissions -> seed-rbac : fixtures:load purge la table
+#     permission, donc sync doit passer apres. seed-rbac (matrice RBAC § 2.7)
+#     passe ensuite, car attachMatrix() exige les permissions en base. Les
+#     comptes demo sont crees par RbacDemoFixtures au load (sans la matrice,
+#     attachee ici). Cf. ERP-74.
 #  4. recreation des index partiels uniques : schema:update drop les index
 #     orphelins du mapping ORM. Les index partiels (LOWER + WHERE) ne sont pas
 #     exprimables via les attributs Doctrine ORM (fonctionnel + partiel), donc
@@ -220,6 +223,7 @@ test-db-setup:
 	$(SYMFONY_CONSOLE) --env=test --no-interaction app:apply-column-comments
 	$(SYMFONY_CONSOLE) --env=test --no-interaction doctrine:fixtures:load
 	$(SYMFONY_CONSOLE) --env=test --no-interaction app:sync-permissions
+	$(SYMFONY_CONSOLE) --env=test --no-interaction app:seed-rbac
 	$(SYMFONY_CONSOLE) --env=test dbal:run-sql "CREATE UNIQUE INDEX IF NOT EXISTS uq_category_name_type_active ON category (LOWER(name), category_type_id) WHERE deleted_at IS NULL"
 	$(SYMFONY_CONSOLE) --env=test dbal:run-sql "CREATE UNIQUE INDEX IF NOT EXISTS uq_client_company_name_active ON client (LOWER(company_name)) WHERE is_archived = FALSE AND deleted_at IS NULL"
 
@@ -231,6 +235,15 @@ fixtures:
 sync-permissions:
 	$(SYMFONY_CONSOLE) --no-interaction app:sync-permissions
 
+# Seed RBAC metier : roles (bureau/compta/commerciale/usine) + matrice § 2.7
+# (+ comptes demo en dev). Idempotent et NON destructif. A lancer APRES
+# sync-permissions (attachMatrix exige les permissions en base). Les comptes
+# demo dev sont deja crees par RbacDemoFixtures (make fixtures) ; ici on attache
+# la matrice (les permissions etaient purgees au moment du load fixtures).
+# En recette/prod, c'est cette commande (avec/sans --with-demo-users) qui seede.
+seed-rbac:
+	$(SYMFONY_CONSOLE) --no-interaction app:seed-rbac
+
 # Attention, supprime votre bdd local
 db-reset:
 	$(DOCKER_COMPOSE) down -v
@@ -240,6 +253,7 @@ db-reset:
 	$(MAKE) migration-migrate
 	$(MAKE) fixtures
 	$(MAKE) sync-permissions
+	$(MAKE) seed-rbac
 	$(MAKE) test-db-setup
 
 # Restart la bdd