feat: add tenant role templates

docs/refactor/next-development-todo.md

@@ -30,7 +30,7 @@
 1. 生产鉴权
    - 已支持 Supabase Auth JWT 和迁移期 `tk_` session 双入口；JWT 通过 `auth.users.id -> platform_users.auth_user_id -> tenant_memberships` 映射业务身份。
    - 已覆盖学生、租户管理员、平台管理员、错租户、坏签名、禁用 legacy header 的 API 集成测试。
-   - 继续补真实云端 Auth/JWKS 回归、RLS 深测、自定义角色模板和菜单/模块/字段级权限。
+   - 已补自定义角色模板、菜单/模块/字段级配置 API；继续补真实云端 Auth/JWKS 回归、RLS 深测和班级/学生范围权限。
    - 前端联调时禁止继续使用 `x-user-id`；`x-tenant-id` 只作为租户上下文，不能作为身份依据。
 
 2. 对象存储
@@ -97,9 +97,9 @@
 ### P2 运营体验和企业交付
 
 1. 自定义角色
-   - 租户内角色模板。
-   - 菜单可见、模块可见、字段级权限。
-   - 权限变更审计。
+   - 已完成租户内角色模板、菜单可见、模块可见、字段级权限和权限变更审计基础 API。
+   - 继续补租户后台可视化配置 UI。
+   - 继续补班级/教师/学生范围权限。
 
 2. 主题系统
    - 平台默认三套主题。