Серверный 403 на админских эндпоинтах ресурсов и пользователей #97

Что

Клиентский гард (#89) — только defense-in-depth: настоящий запрет должен отдавать сервер. Проверить и при необходимости добавить 403 на:

• POST/PUT/DELETE {pathAdmin} (создание/изменение/удаление пользователей, смена роли через UpdateUserRequest)
• PUT {pathResource} от роли ниже MODER

Клиент уже готов: ApiClient.checkError и ServiceException(status) прокидывают 403 до showError форм.

Контекст

Discovery по #89: ни одна форма клиента не проверяет роль, моки разрешают всё молча. Без серверного 403 дыра открыта независимо от клиентских гардов.

Part of #29