fix(mgr): ACL на запись /grid-config (mssetting_save)

[Ibochkarev]

Описание

Write-эндпойнты /api/mgr/grid-config больше не открыты под одним view_document. Глобальные колонки msGridField меняют только пользователи с mssetting_save. Чтение конфигурации грида остаётся на view_document.

Тип изменений

• Исправление бага (non-breaking change)
• Новая функциональность (non-breaking change)
• Breaking change (изменение, ломающее обратную совместимость)
• Рефакторинг (без изменения функциональности)
• Документация
• Другое (опишите):

Связанные Issues

Closes #417

Смежно с #378 / #381 (другие ACL-поверхности mgr API).

Как это было протестировано?

cd core/components/minishop3
php tests/GridConfigRouteAclTest.php   # exit 0
composer ci:php                         # exit 0

Gate E (эта сессия):

• php -l config/routes/manager.php — OK

• php tests/GridConfigRouteAclTest.php — OK (полная карта method→permission)

• composer ci:php — OK (exit 0)

• Vue — n/a (UI без своей ACL; API отдаст 403)

• Ручное тестирование

• Автоматические тесты (composer ci:php)

• Тестирование на разных версиях PHP/MODX

Конфигурация тестирования:

• MiniShop3: ветка fix/issue-417-grid-config-write-acl
• MODX: n/a
• PHP: 8.2+

Скриншоты (если применимо)

n/a

Чеклист

• Код соответствует стилю проекта
• Добавлены/обновлены комментарии в сложных местах
• Изменения не ломают существующую функциональность
• Лексиконы — не требуются
• PHPStan — не в этом гейте
• ESLint — n/a
• CHANGELOG.md — на релизе

Дополнительные заметки

Карта ACL:

Method	Path	Permission
GET	/{grid_key}	view_document
PUT	/{grid_key}	mssetting_save
POST	/{grid_key}/field	mssetting_save
PUT	/{grid_key}/field/{field_name}	mssetting_save
DELETE	/{grid_key}/{field_name}	mssetting_save

UX: вкладка «Конфигурация гридов» без mssetting_save получит 403 на save — ожидаемо.

Review: code-reviewer, thermo-nuclear, security-review; 1 fix-loop (усилен smoke-тест partition).