feat(server): 敏感字段加密与脱敏（F25）

- 新增敏感字段加密服务（AES-256-GCM，FIELD_ENCRYPTION_KEY）
- users 详情返回银行卡/身份证脱敏字段；新增 /users/:id/sensitive 特权明文接口并写审计
- 权限新增 system.users_sensitive（hr/admin）
- 更新 env/README 与 v3 CSV 状态推进

server/src/config.js

@@ -26,6 +26,7 @@ function getConfig() {
 
     appOrigin: process.env.APP_ORIGIN ?? "",
     jwtSecret: requiredEnv("JWT_SECRET"),
+    fieldEncryptionKey: process.env.FIELD_ENCRYPTION_KEY ?? "",
 
     accessTokenTtl: "15m",
     refreshTtlSeconds: 7 * ONE_DAY_SECONDS,