feat: add tenant role templates

docs/refactor/taro-frontend-integration.md

@@ -437,7 +437,7 @@ content_entries
 - 支付渠道从后端返回或租户配置读取，不在页面硬编码。
 - 小程序分享路径必须带 tenantCode 和 referral code。
 - 用户首绑归属由后端保护，前端不要提供“换绑销售”入口。
-- 管理后台菜单按 `GET /api/tenant-admin/permissions` 和用户权限渲染。
+- 管理后台菜单按 `GET /api/tenant-admin/permissions` 返回的 `current.permissions`、`current.templatePermissions`、`current.menuPermissions`、`current.modulePermissions` 渲染；接口权限仍以后端校验为准。
 - H5 自定义域名下要注意缓存隔离，不能把 A 租户主题缓存用到 B 租户。
 
 ## 登录对接
@@ -602,13 +602,14 @@ GET /api/commerce/entitlements
 - 品牌/主题/域名/公开设置
 - 支付账户/登录 provider/密钥引用
 - 用户与成员权限
+- 角色模板：`GET/PUT /api/tenant-admin/role-templates`、`POST /api/tenant-admin/role-templates/disable`
 - 内容入口/分类树/题目集合/练习蓝图
 - 题目/单词/知识手册/分数线/视频维护
 - JSON 导入 preview/import/issues
 - Banner/FAQ/公告/激活码/优惠券
 - 销售/代理/CRM 队列
 
-租户后台不应在前端自行决定权限；隐藏菜单只是体验优化，接口仍会校验权限。
+租户后台不应在前端自行决定权限；隐藏菜单只是体验优化，接口仍会校验权限。角色模板用于让租户配置“运营、教师、销售、代理”等自定义后台体验，成员绑定模板后，前端按模板的菜单/模块/字段权限渲染，后端按 permission keys 执行真正的访问控制。
 
 ## 联调顺序