feat(server): 敏感字段加密与脱敏（F25）

- 新增敏感字段加密服务（AES-256-GCM，FIELD_ENCRYPTION_KEY）
- users 详情返回银行卡/身份证脱敏字段；新增 /users/:id/sensitive 特权明文接口并写审计
- 权限新增 system.users_sensitive（hr/admin）
- 更新 env/README 与 v3 CSV 状态推进

server/.env.example

@@ -1,5 +1,9 @@
 DATABASE_URL="postgresql://hyboa_user:hyboa_password@localhost:5432/hyb_oa?schema=public"
 JWT_SECRET="change_me"
+# ===== 敏感字段加密（F25）=====
+# 用于员工银行卡/身份证等字段的可逆加密（AES-256-GCM）。
+# 生成方式示例：openssl rand -base64 32
+# FIELD_ENCRYPTION_KEY=""
 # APP_ORIGIN="https://oa.hyinda.com"
 # COOKIE_SECURE="true"
 # DEV_SHOW_PASSWORD_RESET_CODE="true"