feat(r0.10): apps/api — auth fermée par défaut, matrice en base, démo-login ADR-002, seed

- packages/shared : rôles/catégories, schémas Zod, contrat d'API ;
  pnpm contract → docs/openapi.json committée (règle d'or ADR-001)
- apps/api : NestJS 11 + Prisma 6, migration r0_identity (Role/Permission/User) ;
  guard JWT global + @Public() ; PermissionsGuard (@RequirePermission,
  matrice relue en base, cache 60 s) ; FileStorage (seul import MinIO) ; /health
- démo-login ADR-002 : module conditionnel DEMO_MODE (404 sinon, testé e2e),
  double verrou production, refus des comptes isDemo=false
- seed idempotent : 7 rôles, matrice complète (70 lignes), 7 comptes démo
- 19 tests Jest (unit + e2e) ; smoke test sur build de prod

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

apps/api/src/users/users.controller.ts

@@ -0,0 +1,34 @@
+import { Controller, Get, NotFoundException } from '@nestjs/common';
+import type { MeResponse, RoleName } from '@siop/shared';
+import {
+  AuthenticatedUser,
+  CurrentUser,
+} from '../auth/current-user.decorator';
+import { PermissionsService } from '../permissions/permissions.service';
+import { PrismaService } from '../prisma/prisma.service';
+
+@Controller('users')
+export class UsersController {
+  constructor(
+    private readonly prisma: PrismaService,
+    private readonly permissionsService: PermissionsService,
+  ) {}
+
+  /** R0 : lecture du profil courant (gestion complète des utilisateurs en R1). */
+  @Get('me')
+  async me(@CurrentUser() current: AuthenticatedUser): Promise<MeResponse> {
+    const user = await this.prisma.user.findUnique({
+      where: { id: current.userId },
+      include: { role: true },
+    });
+    if (!user || !user.isActive) throw new NotFoundException();
+    return {
+      id: user.id,
+      email: user.email,
+      displayName: user.displayName,
+      role: { id: user.role.id, name: user.role.name as RoleName },
+      isDemo: user.isDemo,
+      permissions: await this.permissionsService.getForRole(user.roleId),
+    };
+  }
+}