fix(菜单权限): 授权树按操作者置灰不可授予项 + 放行保留既有授权

普通管理员勾到无权授予的菜单后，ensureGrantable 抛 403，而 createUser/updateUser
都是 @Transactional，整笔回滚——线上表现就是「后台不能保存权限，也不能创建用户」
（2026-09-16 周丽娥账号创建用户与保存 uid=45 权限双双失败，库里查无新用户）。
根因是校验 2026-07-28 就加了，但授权树一直拿全量菜单，两边规则不一致。

- permission-menus 按操作者标记 grantable；授权树据此置灰（不隐藏：授权是整树替换，
  隐藏会把超管授予过、操作者自己没有的菜单当取消勾选删掉，与 09-13「权限自己没掉」同类）
- ensureGrantable 放行目标已持有的授权，只拦新增，不构成提权
- GlobalExceptionHandler 补业务异常日志：此前普通业务异常一行都不记，本次排查只能靠
  反推响应体字节数（nginx body_bytes_sent 含 chunked 开销）才定位到根因

admin-frontend-vue/src/pages/account/UserMenuAuthTree.vue

@@ -77,7 +77,7 @@ watch(
             node-key="id"
             show-checkbox
             default-expand-all
-            :props="{ label: 'name', children: 'children' }"
+            :props="{ label: 'name', children: 'children', disabled: 'disabled' }"
             @check="onCheck"
           />
         </div>
@@ -89,7 +89,7 @@ watch(
             node-key="id"
             show-checkbox
             default-expand-all
-            :props="{ label: 'name', children: 'children' }"
+            :props="{ label: 'name', children: 'children', disabled: 'disabled' }"
             @check="onCheck"
           />
         </div>

admin-frontend-vue/src/pages/account/user-menu-auth.ts

@@ -16,6 +16,11 @@ export interface MenuOptionNode {
   parentId: number | null
   /** 所属菜单类型（admin 后台 / app 前端客户端），提交时按类型分区落库。 */
   type: string
+  /**
+   * 当前操作者无权授予（后端 grantable=false）时置灰：仍展示并回显已勾选，
+   * 但不允许改勾选。非超管只能授自己已有的菜单，勾到越权项会让整笔保存回滚。
+   */
+  disabled?: boolean
   children?: MenuOptionNode[]
 }
 
@@ -39,6 +44,8 @@ export function parsePermissionMenuItem(raw: unknown, type = ''): MenuOptionNode
     sort: sortRaw === null ? 0 : sortRaw,
     parentId: parentId === null ? null : parentId,
     type,
+    // 缺省（菜单管理页等未标记的接口）按可授予处理，保持旧行为
+    disabled: record.grantable === false,
   }
 }