feat(panel-admin): RBAC com roles e policies no painel admin

[danielhe4rt]

Contexto

O acesso ao painel admin era decidido por uma lista de usernames em config/he4rt.php. Quem estava na lista via tudo; quem não estava não via nada. Não havia meio-termo — nenhuma forma de dar a um moderador acesso só à moderação, ou a um responsável por marketing acesso só ao encurtador.

Este PR troca o allowlist por autorização de verdade: spatie/laravel-permission para o schema de roles/permissions e filament-shield para gerar as permissions a partir dos recursos do painel. Acessar o painel passa a significar possuir um role, e cada um dos 15 recursos é governado por uma policy.

Ainda é draft — o fluxo está funcional, mas faltam as pontas descritas em Pendências antes de mergear.

Alterações

• identity — publica a migration do spatie/laravel-permission dentro do módulo, com dois ajustes que o stub publicado exige aqui: model_morph_key vira UUID (o User usa UUID como PK, então atribuir role falharia no insert, não no migrate) e timestamps() vira timestampsTz(). Adiciona HasRoles ao User.
• panel-admin — 15 policies geradas pelo Shield, uma por recurso. Elas vivem no módulo de apresentação, não ao lado de cada model de domínio, porque autorizar uma tela é uma preocupação de apresentação.
• Registro via Gate::guessPolicyNamesUsing() — registrar dentro de Filament::serving() só resolvia as policies durante um request HTTP. Um componente Livewire exercitado diretamente rodava sem policy nenhuma, então um usuário com permissão de moderação abria uma página de marketing e recebia 200.
• Três acomodações que o Shield precisou neste repositório: ele lê apenas o composer.json da raiz ao resolver PSR-4 (daí a declaração do namespace He4rt\PanelAdmin lá); ele rejeita o separador _ junto de snake case (daí o separador placeholder na config e o builder próprio); e ele só procura um diretório Policies irmão quando o model está sob Models.
• isAdmin() removido. O gate do Telescope agora pede o role super_admin.
• Testes — os que dependiam do allowlist constroem um role de verdade. Dois helpers em tests/Pest.php carregam isso: panelUserWith() para permissions específicas e panelAdminUser() para o super admin. Novos: PermissionTablesTest, PolicyCoverageTest e AreaIsolationTest (este último cobrindo tanto componente Livewire quanto rota HTTP).
• Sob phpunit, desativa o lookup de proxy do Cloudflare: ele busca por HTTP e cacheia para sempre, então um cache frio virava 500 em todo teste roteado.

---

Plano de Testes

• Executar make check
• Executar make test
• Verificar que um usuário sem role nenhum não acessa /admin
• Verificar que um usuário com permission só de moderação recebe 403 numa página de marketing
• Verificar que super_admin acessa todos os 15 recursos e o Telescope

---

Pendências antes de sair do draft

• Bootstrap de acesso — não existe seeder nem command que crie o role super_admin e o atribua a alguém. O allowlist era o que cumpria esse papel; nada tomou o lugar dele, então após o deploy ninguém entra no painel.
• Tela de Roles invisível — o painel monta a sidebar manualmente via NavigationBuilder, e defaultNavigation() não inclui os itens do RoleResource do Shield. A rota existe, o link não.
• Sem UI para vincular usuário a role — não há UserResource no panel-admin. Dá para criar roles no Shield, mas o vínculo user↔role só via tinker. Candidato a PR separado.
• Config morta — config/he4rt.php ainda carrega 'admins' => env('HE4RT_ADMINS_USERNAMES', ...), que já não é lido por nada.
• Atualizar docs/admin/en/users/authentication.md e roles.md.

---

Issues Relacionadas

[hefeus]

@danielhe4rt Poderia me passar como está o andamento dessa issue? Se ainda fará algo com ela, ou se é somente revisão mesmo? Pois com suas alterações e preciso esperar para finalizar o pr #487 que tinha coisas referente a essas politicas.