feat(auth): 能源管理模块需要 BI-LEADER-ENERGY 角色

- 新增 ENERGY_ACCESS_ROLES 与 canAccessEnergy(roles) 守卫（全量权限角色亦可访问）
- 后端 /api/energy/* 加模块级守卫：无角色返回 403
- 前端 App.tsx 按角色动态注入 EnergyModule，无权限时主导航不显示
- dev mock 用户（前端 + 后端）追加 BI-LEADER-ENERGY 便于本地调试

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

src/shared/auth/roles.ts

@@ -13,6 +13,9 @@ export const SCHEDULING_ACCESS_ROLES = ['BI-SCHEDULE-OPT'];
 /** 反馈管理（管理员）访问角色 */
 export const FEEDBACK_ADMIN_ROLES = ['BI-ADMIN-FEEDBACK'];
 
+/** 能源管理模块访问角色 */
+export const ENERGY_ACCESS_ROLES = ['BI-LEADER-ENERGY'];
+
 /** 用户是否可访问智能调度模块。仅 BI-SCHEDULE-OPT 角色允许访问。 */
 export function canAccessScheduling(roles: readonly string[] | null | undefined): boolean {
   if (!roles || roles.length === 0) return false;
@@ -24,3 +27,9 @@ export function canManageFeedback(roles: readonly string[] | null | undefined):
   if (!roles || roles.length === 0) return false;
   return roles.some(r => FEEDBACK_ADMIN_ROLES.includes(r) || FULL_ACCESS_ROLES.includes(r));
 }
+
+/** 用户是否可访问能源管理模块。BI-LEADER-ENERGY 或全量权限角色可访问。 */
+export function canAccessEnergy(roles: readonly string[] | null | undefined): boolean {
+  if (!roles || roles.length === 0) return false;
+  return roles.some(r => ENERGY_ACCESS_ROLES.includes(r) || FULL_ACCESS_ROLES.includes(r));
+}