feat: Implement permission gate for appointment and billing controllers

- Added PermissionGateTrait to manage access control for AppointmentPlanController and BillingController.
- Introduced denyUnlessGrantedForPlanning method in AppointmentPlanController to handle specific permission checks for planning appointments.
- Updated existing methods in both controllers to utilize the new permission checks.
- Refactored ResourcePermissionTrait to use PermissionGateTrait for cleaner permission management.
- Added tests to ensure proper permission enforcement across different scenarios, including cross-tenant access restrictions for staff.

docs/api/insurance.md

@@ -41,7 +41,15 @@ hardcode نمی‌شود. ویزیت همیشه `outpatient` است.
 
 List all active insurances.
 
-**Permission:** `PUBLIC`
+**Permission:** `AUTH` — بدون مجوزِ رجیستری، و این عمدی است.
+
+> سند تا ۲۰۲۶-۰۸-۰۸ اینجا `PUBLIC` نوشته بود که با رفتار نمی‌خواند: مسیر پشت firewall
+> است و درخواستِ بدون توکن `401` می‌گیرد.
+>
+> کاتالوگ سراسری بیمه‌هاست — `findActive()` بدون فیلترِ محیط، جدا از قرارداد بیمهٔ
+> tenant (`TenantInsurance`) که مجوز خودش را دارد. گِیت‌زدنش با `insurances.view` فرمِ
+> ثبت بیمار را برای منشیِ دارای `patients.create` با کمبوی خالی می‌شکست. در
+> `ApiLeastPrivilegeTest::ALLOWED_200` با همین دلیل ثبت است.
 
 ### Query Parameters
 | Param | Type | Required | Description |