feat(rbac): Viewer-Rolle durchsetzen — alle Mutations nur für Admins

- middleware.go: RequireAdminForMutations() blockiert POST/PUT/DELETE
  für Nicht-Admins (GET/HEAD passieren immer durch)
- main.go: Middleware in den authed-Gruppe eingehängt — wirkt für
  alle ~30 Resource-Handler gleichzeitig
- api/client.ts: 403 → AntD-Notification "Nur Lesezugriff" statt
  stiller Fehler
- Header: "Nur lesen"-Badge + Tooltip wenn role=viewer
- i18n de+en: viewerBadge + viewerHint

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

management-ui/src/i18n/locales/de/common.json

@@ -198,7 +198,9 @@
     "logout": "Abmelden",
     "loginFailed": "Anmeldung fehlgeschlagen",
     "loggedInAs": "Angemeldet als",
-    "forgotPassword": "Passwort vergessen?"
+    "forgotPassword": "Passwort vergessen?",
+    "viewerBadge": "Nur lesen",
+    "viewerHint": "Dieser Account hat die Rolle Betrachter — Änderungen sind gesperrt. Ein Admin kann die Rolle anpassen."
   },
   "reset": {
     "title": "Admin-Passwort zurücksetzen",

management-ui/src/i18n/locales/en/common.json

@@ -198,7 +198,9 @@
     "logout": "Sign out",
     "loginFailed": "Sign-in failed",
     "loggedInAs": "Signed in as",
-    "forgotPassword": "Forgot your password?"
+    "forgotPassword": "Forgot your password?",
+    "viewerBadge": "Read-only",
+    "viewerHint": "Your account has viewer role — all changes are blocked. Contact an admin to change your role."
   },
   "reset": {
     "title": "Reset admin password",