fix(manager-api): require mssetting_save for config writes

[Ibochkarev]

Описание

Группа /api/mgr/config (PUT/DELETE page-fields и sections) была доступна любому аутентифицированному менеджеру — только outer AuthMiddleware, без PermissionMiddleware.

Мутации закрыты mssetting_save (как write у соседних settings-групп). GET оставлен на mgr Auth: формы товара (ProductDataFields) читают page-fields без права настроек.

Тип изменений

• Исправление бага (non-breaking change)
• Новая функциональность (non-breaking change)
• Breaking change (изменение, ломающее обратную совместимость)
• Рефакторинг (без изменения функциональности)
• Документация
• Другое (опишите):

Связанные Issues

Closes #381

Как это было протестировано?

• Ручное тестирование
• Автоматические тесты (PHPStan, ESLint)
• Тестирование на разных версиях PHP/MODX

Gate E (exit codes):

• php -l manager.php / ConfigRoutePermissionsTest / ModxStub → 0
• php core/components/minishop3/tests/ConfigRoutePermissionsTest.php → 0 (OK)
• red-green: без middleware на write → fail (actual: NULL); с фиксом → 0

Конфигурация тестирования:

• MiniShop3: ветка fix/issue-381-config-mssetting-save
• MODX: n/a (Router + stub modX)
• PHP: 8.x локально

Скриншоты (если применимо)

До	После

Чеклист

• Код соответствует стилю проекта
• Добавлены/обновлены комментарии в сложных местах
• Изменения не ломают существующую функциональность
• Лексиконы добавлены на двух языках (ru/en)
• PHPStan проходит без новых ошибок
• ESLint проходит без ошибок (для JS/Vue изменений)
• Обновлён CHANGELOG.md (для значимых изменений)

Дополнительные заметки

• GET не под mssetting_save намеренно: иначе роль с msproduct_save без settings не откроет конфиг полей на карточке товара. Issue про write; read/write split как у заказов ([Bug] Manager API: write-операции заказов под permission msorder_list #377).
• Review: блокеров нет; security OK; medium про GET закрыт split-ом.

[biz87]

Security-фикс, red-green прогнал:

• RED: на beta PUT /api/mgr/config/page-fields/{page_key} = actual: NULL — никакого PermissionMiddleware, любой аутентифицированный менеджер мог менять/удалять конфиг полей форм.
• GREEN: с фиксом → mssetting_save, тест OK ConfigRoutePermissionsTest.

Проверил:

• Read/write split: GET (page-fields, page-fields/all, sections) без права; PUT/DELETE → mssetting_save.
• GET не отдаёт секретов — ConfigService возвращает UI-метаданные структуры формы. Оставлено открытым намеренно: ProductDataFields на карточке товара читает page-fields, роль с msproduct_save без settings должна открыть форму. Обоснование корректное.
• Merge с beta бесконфликтный — orders-split (fix(manager-api): require msorder_save for order write routes #402) и config-split (fix(manager-api): require mssetting_save for config writes #404) правят разные секции manager.php. Прогнал merge локально: все 9 smoke зелёные (Orders + Config тесты сосуществуют), PHPStan чист.
• ModxStub отличался с beta-версией только line-endings — по содержанию идентичен.
• Влил beta в head-ветку → CI на актуальной базе.

Тот же высокий уровень, что #402. Блокеров нет.

Для CHANGELOG: config writes (page-fields, sections) теперь требуют mssetting_save (было — только mgr Auth).

Мержим.