Autorizar relatórios e integrações por regras de permissão

[edvaldoszy]

Visão geral

relatorio.js, reflora.js, specieslink.js, darwin.js, splinker.js (e correlatos). Recursos: Relatorio, Reflora, SpeciesLink, Darwin, Splink. Exportação de tombo já coberta em #518 se estiver em tombos; aqui o restante.

Fora de escopo

• Mudar o conteúdo dos relatórios ou o recorte das integrações
• Painel

Critérios de aceite

• Sem regra de read/export/update da integração → recusa
• Quem já usava continua no mesmo recorte
• POST /login inalterado

Detalhes técnicos

Auditar tokensMiddleware em cada arquivo. Painel hoje: curador tem read/update em Reflora e SpeciesLink e export em Tombo; operador/identificador têm pouco além de read padrão — alinhar createRules ao que as rotas da API realmente permitem (a UI e a API divergem hoje; a API ganha).