feat(v0.7.1): P0 修复 + 企微 SSO + RBAC 细粒度 + audit_log

P0 修复:
- /api/ready import 错误 (_get_engine + settings.create_redis_client)
- 删 agent.otp_secret/otp_enabled 双字段 (migration 026)
- 重建 021_rbac migration (IF NOT EXISTS 兼容)

P1 新增:
- 企微 SSO (auth_wecom_sso.py, useWeChatWorkSSO composable, PortalSelect UA 检测)
- RBAC 5 角色 × 4 资源 × 4 操作 × 3 范围 (rbac_service + seed_rbac + require_permission)
- audit_log 模型 + migration 027 + 服务 + API
- 管理后台 RBAC 权限矩阵 UI (PermissionsMatrix.vue)

质量:
- pytest 405 passed / 33 pre-existing failed / 4 xfailed (v0.7.1 引入失败 = 0)
- conftest GBK patch 强制 UTF-8 读 .env
- .gitignore 排除 *.b64 (含 admin token 凭据)
- DEPLOY-v0.7.1.md 7 步 runbook + 4 坑 + 回滚预案

backend/app/main.py

@@ -210,7 +210,12 @@ async def _init_default_data():
             # 5. 初始化软件下载入口
             await _init_software_downloads(db, SoftwareDownload)
 
-            # 6. (dev 模式)初始化 demo 会话,让前端有数据可发
+            # 6. v0.7.1 task #86 — RBAC 5 角色种子(细粒度权限)
+            #    行为: 已有角色更新 permissions,缺则新建
+            from app.data.seed_rbac import seed_rbac_roles
+            await seed_rbac_roles(db)
+
+            # 7. (dev 模式)初始化 demo 会话,让前端有数据可发
             # 真因:之前没建,前端硬编码的 conv-001 调 POST /messages 返 "会话不存在" 3003
             if getattr(settings, 'dev_mode', False) or os.getenv('DEV_MODE', '').lower() == 'true':
                 await _init_demo_conversations(db)
@@ -752,7 +757,8 @@ def create_app() -> FastAPI:
         """
         try:
             # 检查数据库
-            from app.database import engine
+            from app.database import _get_engine
+            engine = _get_engine()
             async with engine.connect() as conn:
                 await conn.execute(text("SELECT 1"))
             db_status = "ok"
@@ -761,8 +767,7 @@ def create_app() -> FastAPI:
 
         try:
             # 检查 Redis
-            from app.config import get_settings
-            settings = get_settings()
+            from app.config import settings
             redis_client = settings.create_redis_client()
             await redis_client.ping()
             redis_status = "ok"