feat(portal-shell): v2.1 P0 auth + middleware + login + graphql proxy

- 新增 ARCHITECTURE.md v3.0：portal-shell 架构权威文档
  涵盖 §3.4 V3-A2/A3 认证链、§4 GraphQL 联邦、§5 安全、
  §6 部署、§10 P0-P3 验收清单
- 新增 middleware.ts：认证 + 路由门禁
  httpOnly cookie edu_session（JWT）读取
  DEV_MODE 合成 dev-user/teacher 身份（NODE_ENV!=production &&
  NEXT_PUBLIC_DEV_MODE=true）
  生产模式 jose JWKS RS256 验签（iss/aud 校验）
  路由权限位图注入 x-user-id/x-user-role/x-user-permissions 头
  /shell/** 强制 checkRoutePermission，拒绝跳 /shell/forbidden
- 新增 instrumentation.ts：生产环境 DEV_MODE 强制 false
  防止生产环境误开 DEV_MODE 合成身份
- 新增 app/api/auth/login/route.ts + logout/route.ts
  登录走 api-gateway /v1/iam/login
  设置 httpOnly + Secure + SameSite=Strict cookie
- 新增 app/api/graphql/route.ts：同域 GraphQL 代理
  转发到 apollo-router，注入 router-authorization 头
- 新增 app/login/page.tsx + login-form.tsx
  zod 表单校验，next 参数支持
- 新增 app/shell/forbidden/page.tsx：403 页面
- 更新 route-permissions.ts：补全 P0 路由权限映射
- 更新 permission-bitmap.ts（shared-ts）：位图编码/解码
- 更新 apollo-client.ts：DEV_MODE APQ 关闭，错误处理
- 更新 config-fetcher.ts：config-service 直连降级
- 更新 ApolloProvider.tsx：SSR/RSC 兼容
- 更新 eslint.config.js：design-tokens/no-hardcoded-fonts
  白名单调整

packages/shared-ts/src/permission-bitmap.ts

@@ -75,8 +75,10 @@ export const PERMISSION_BITMAP_ORDER = [
   "HOMEWORK_SUBMIT",
   "HOMEWORK_GRADE",
 
-  // ── 成绩（5）──────────────────────────────────────────
-  "GRADE_READ",
+  // ── 成绩（4 + 1 占位）─────────────────────────────────
+  // GRADE_READ 曾在此重复定义（ARCHITECTURE.md §3.4 V3-A3 P0-6 去重）。
+  // 索引 31 标记为 _RESERVED_31 永不复用，避免破坏已签发 JWT 的 bit 位语义。
+  "_RESERVED_31",
   "GRADE_READ_OWN",
   "GRADE_READ_CHILD",
   "GRADE_RECORD_MANAGE",
@@ -264,10 +266,13 @@ function parseBase36BigInt(str: string): bigint | null {
 }
 
 /**
- * 校验权限点是否在位图顺序表中
+ * 校验权限点是否在位图顺序表中（且非 _RESERVED_* 占位）
  *
- * 用于开发时校验 manifest 声明的权限点是否合法
+ * 用于开发时校验 manifest 声明的权限点是否合法。
+ * _RESERVED_* 占位保留 bit 位语义但不视为合法权限点（防误用）。
  */
 export function isValidPermission(permission: string): boolean {
-  return PERMISSION_BIT_INDEX.has(permission);
+  if (!PERMISSION_BIT_INDEX.has(permission)) return false;
+  if (permission.startsWith("_RESERVED_")) return false;
+  return true;
 }