创建自定义角色（仅 owner/admin）。
创建载荷（key/name）。
创建后的角色读模型。
删除自定义角色（授权行级联销；系统角色屏）。
删除载荷（key）。
为角色新增授权格（同格多条件行 = OR 并集）。
授权载荷（roleKey/subject/action/conditions）。
列出某角色的授权行（回显勾选态）。
OptionalroleKey: string
查询参数：目标角色 key（缺失 → 400）。
授权行读模型列表。
自定义角色改名（系统角色屏）。
改名载荷（key/name）。
撤权（conditions 缺省 = 整 subject 级行；传对象 = 精确撤单条件行）。
撤权载荷（roleKey/subject/action/conditions）。
角色/授权管理门面端点（module-rbac-dynamic-roles §2.5·S3·甲裁自建角色 + 丁裁随片授权面）。
Remarks
授权在我·数据在 DB：每端点声明
@Can(<动作>, 'Role'|'RoleGrant')，由AuthorizationGuard携 ALS 角色经 CASL（规则源 = 本租户 DB grant 行）裁决；通过后委派OrganizationRbacAdminService落库（写侧过 domain 策略闸 + 同通道审计行 + 写后失效投影缓存）。BA 内置 create-role/roles 端点 维持封堵（甲裁不代建→本片自建），本门面是租户差异化授权策略的唯一入口。@Can落点与 seed 一致：owner/admin 持Role(create/read/update/delete) +RoleGrant(create/read/delete)，member 无 → 非管理员请求由守卫 403（fail-closed）。