feat: Implement secretary permissions enforcement across multiple resources

- Added SecretaryAccessChecker to manage resource access for secretaries.
- Integrated permission checks for payments, inventory, and tags in relevant controllers.
- Updated PaymentController and PaymentMethodController to enforce secretary permissions.
- Enhanced TenantTagController to check permissions for tag management actions.
- Introduced tests for secretary resource enforcement, ensuring proper access control.
- Updated DoctorSecretary entity to include inventory and tags permissions.
- Created a comprehensive audit document for secretary permissions coverage and enforcement.
- Fixed potential crashes in SecretaryDashboard when rendering without doctor data.

docs/api/secretary.md

@@ -69,7 +69,19 @@ Create a secretary for a doctor.
                 "update": false,
                 "delete": false
             },
-            "clinic_info": { "view": true, "update": false }
+            "clinic_info": { "view": true, "update": false },
+            "inventory": {
+                "view": false,
+                "create": false,
+                "update": false,
+                "delete": false
+            },
+            "tags": {
+                "view": false,
+                "create": false,
+                "update": false,
+                "delete": false
+            }
         }
     }
 }
@@ -107,7 +119,20 @@ Create a secretary for a doctor.
 
 **Permissions Structure:**
 
-مجموعهٔ منابع (resources) بر اساس صفحات موجود پنل ادمین است. `mergePermissions` هر منبع/اکشن ارسال‌شده را deep-merge می‌کند؛ فقط `appointments` در بک‌اند enforce می‌شود (`MyAppointmentsController`, `DashboardController`)، بقیه UI/ذخیره‌ای هستند.
+مجموعهٔ منابع (resources) بر اساس صفحات و ماژول‌های در دسترسِ منشی است: `appointments`, `patients`, `payments`, `insurances`, `addresses`, `clinic_info`, `inventory`, `tags`. `mergePermissions` هر منبع/اکشن ارسال‌شده را deep-merge می‌کند. منابع `inventory` و `tags` به‌صورت پیش‌فرض همه `false`‌اند (default-deny)؛ بقیه طبق `DEFAULT_PERMISSIONS`.
+
+**اعمال (enforcement):** همهٔ منابع در بک‌اند enforce می‌شوند، نه فقط `appointments`. منبعِ حقیقت، ستون JSON `permission` روی ردیفِ فعالِ `DoctorSecretary` در محیطِ فعالِ کاربر (`UserActiveContext.db_uuid`) است؛ نقطهٔ مرکزی `App\Secretary\Security\SecretaryAccessChecker` (`can` / `canOrNonSecretary` / `denyUnlessGranted`). نبودِ مجوز → `403 ERR_FORBIDDEN_001`. نقشه:
+
+| Resource | Enforced in | Action → endpoint |
+| --- | --- | --- |
+| `appointments` | `AppointmentAccessChecker`, `MyAppointmentsController`, `DashboardController` | view/create/cancel/update_status |
+| `patients` | `PatientController` (خواندن‌ها via `scope()` → بدون `view` هیچ پرونده‌ای؛ نوشتن‌ها با guard) | view/create/update/delete |
+| `payments` | `PaymentController::myPayments`, `PaymentMethodController` (bank/pos), `PatientController` (کیف‌پول + پرداختِ جلسه) | view/create/update/delete |
+| `insurances` | `InsuranceController` (insurance-pricing, tenant-insurances, service-coverage, doctor-insurance) | view/create/update/delete |
+| `inventory` | `InventoryController` (items + packages) | view/create/update/delete |
+| `tags` | `TenantTagController` (لیست با `tags.view` یا `patients.view`؛ نوشتن‌ها با `tags.*`) | view/create/update/delete |
+
+نقش‌های غیرمنشی (`ROLE_CLINIC`/`ROLE_DOCTOR`/`ROLE_ADMIN`) از این چک عبور می‌کنند (`canOrNonSecretary` برایشان `true`). منشیِ بدون رابطهٔ فعال/context هیچ مجوزی ندارد → همه‌چیز `403`.
 
 ```json
 {
@@ -146,6 +171,18 @@ Create a secretary for a doctor.
         "clinic_info": {
             "view": true,
             "update": false
+        },
+        "inventory": {
+            "view": false, // انبار: مشاهده
+            "create": false, // ایجاد کالا/بسته
+            "update": false,
+            "delete": false
+        },
+        "tags": {
+            "view": false, // تگ‌ها؛ لیست با tags.view یا patients.view
+            "create": false,
+            "update": false,
+            "delete": false
         }
     }
 }