feat(platform): load authorized menus from backend

docs/05-平台总后台需求.md

@@ -76,7 +76,7 @@
 - 登录成功返回 JWT、账户 `identity`、显示名称和角色编码。
 - `Authorization` 请求头当前直接传 JWT 原始值，不使用 `Bearer` 前缀。
 - 已登录账户可查看个人资料、角色和菜单编码。
-- 修改密码必须校验当前密码，新密码不少于 12 位。
+- 修改密码必须校验当前密码，新密码不少于 6 位。
 - 系统启动时幂等创建 `root` 管理账户；root 初始密码优先读取环境变量 `HEQI_PLATFORM_ROOT_PASSWORD`。
 
 ### 4.2 RBAC 与数据能力
@@ -198,7 +198,7 @@
 | 资源 | 路径 | 模式 | 已实现能力 |
 | --- | --- | --- | --- |
 | 商品分类 | `/ec_category` | 可写树 | 分类新增、编辑、排序、启停和归档 |
-| 商品 | `/ec_product` | 可写 | 商品编码、名称、售价、库存及状态管理 |
+| 商品管理 | `/ec_product` | 可写 | 商品编码、名称、售价、库存及状态管理 |
 | 商品属性 | `/ec_product_attribute` | 可写 | 商品属性和值管理 |
 | 商品图片 | `/ec_product_image` | 可写 | 图片地址、排序和封面管理 |
 | 购物车 | `/ec_cart` | 只读 | 查询购物车事实 |
@@ -271,24 +271,6 @@
 - 业务动作在详情页按当前业务状态显示；即使前端未隐藏，后端仍必须拒绝非法状态转换。
 - 路由、资源模式和页面能力由后端资源契约校验，任一层缺失时契约审计失败。
 
-## 8. 当前未实现范围
-
-以下能力在总体规划中存在，但当前平台前后端没有完整可验收实现：
-
-- 安全事件中心、告警规则、自动关阀审批、安检整改和复检。
-- 设备遥测实时页面、设备命令下发、命令回执和 MQTT 在线状态。
-- 气站/配送点邀请二维码、扫码归因和服务关系变更审批。
-- 配送员实时定位采集、地图回放、精确轨迹导出审批和轨迹异常识别。
-- 用户 360、跨组织协同时间线和完整敏感访问审计。
-- 文件上传、对象存储签名访问、病毒检测和证据哈希。
-- 支付回调接入、自动对账、自动打款、电子发票和电子合同第三方签署。
-- 全局安全地图、运营规则中心、通知模板、消息任务和触达回执。
-- 独立审计中心、审批中心、导出审计和不可变操作日志查询页面。
-- 生产管理系统、气站管理系统、配送点管理系统、API 中心和两类 Flutter App。
-- 报表配置、报表导出、定时生成和跨维度 BI。
-
-新增以上能力前，必须先确认主责系统、数据实体、权限、契约和验收口径，不能直接扩展通用 CRUD 页面冒充业务闭环。
-
 ## 9. 现状验收标准
 
 1. 匿名用户只能访问健康检查和登录；受保护资源缺少有效 JWT 时被拒绝。