feat(server): 敏感字段加密与脱敏（F25）

- 新增敏感字段加密服务（AES-256-GCM，FIELD_ENCRYPTION_KEY）
- users 详情返回银行卡/身份证脱敏字段；新增 /users/:id/sensitive 特权明文接口并写审计
- 权限新增 system.users_sensitive（hr/admin）
- 更新 env/README 与 v3 CSV 状态推进

server/src/constants/permissions.js

@@ -42,7 +42,7 @@ const ROLE_PERMISSIONS = {
     "invoice.upload",
     "invoice.view_own",
   ],
-  hr: ["system.users", "expense.view_all"],
+  hr: ["system.users", "system.users_sensitive", "expense.view_all"],
   admin: ["*"],
 };