feat: JWT多租户数据权限隔离 & 主管系统管理权限 & 含税单价补齐

## 多租户公司数据隔离
- 新增 get_current_company_filter() 工具函数 (decorators.py)
  SUPER_ADMIN: 可传company_name参数过滤或传ALL看全量
  其他角色: 强制隔离到JWT中的company_name
- 重构 base_service.py / buy_service.py: 用集中式函数替换内联公司过滤
- SysRolePermission 表新增 company_name 字段，支持同角色不同公司权限
- get_user_permissions() 新增 company_name 参数，查公司定制+全局模板权限
- permission.py API 新增 @permission_required 拦截 + 公司过滤
- 19个API/service文件传递 company_name 到权限查询

## 主管系统管理权限
- delete_user() 允许SUPERVISOR删除同公司用户 (原仅SUPER_ADMIN)
- get_all_users() 新增 company_name 参数过滤
- 用户列表/权限分配 API 应用 get_current_company_filter()
- 前端 UserCreate.vue: 超管可见公司下拉框，主管隐藏部门字段

## 前端多租户适配
- material/list.vue / buy.vue: 公司下拉框仅超管可见，默认ALL
- UserCreate.vue: 新增搜索栏公司筛选，部门字段按角色显隐
- auth.ts: getUserList() 支持 params 参数

## Bug修复: 含税单价字段补齐
- buy.vue: 表格列/高级筛选/排序/权限映射新增 post_tax_unit_price
- buy_service.py: allowed_fields/sort_field_map 新增 post_tax_unit_price

inventory-backend/app/api/v1/permission.py

@@ -1,32 +1,42 @@
 # inventory-backend/app/api/v1/permission.py
 from flask import Blueprint, request, jsonify, current_app
-from flask_jwt_extended import jwt_required
+from flask_jwt_extended import jwt_required, get_jwt
 from app.services.permission_service import PermissionService
-from app.utils.decorators import audit_log
+from app.utils.decorators import permission_required, audit_log
 
 permission_bp = Blueprint('permission', __name__)
 
 
+def _get_operator_company():
+    """从 JWT 获取当前操作者公司（None=超管）"""
+    claims = get_jwt()
+    role = claims.get('role', '')
+    if role and role.upper() == 'SUPER_ADMIN':
+        return None  # 超管不限制公司
+    return claims.get('company_name', '')
+
+
 @permission_bp.route('/tree', methods=['GET'])
 @jwt_required()
+@permission_required('system_permission')
 def get_tree():
     """获取权限树"""
     try:
         data = PermissionService.get_permission_tree()
         return jsonify({'code': 200, 'msg': '获取成功', 'data': data}), 200
     except Exception as e:
-        # 打印详细错误到控制台，方便调试
         current_app.logger.error(f"Get Tree Failed: {str(e)}")
-        # 返回 500 时带上错误信息
         return jsonify({'code': 500, 'msg': f'服务器内部错误: {str(e)}'}), 500
 
 
 @permission_bp.route('/role/<string:role_code>', methods=['GET'])
 @jwt_required()
+@permission_required('system_permission')
 def get_role_perms(role_code):
-    """获取某个角色的权限列表"""
+    """获取某个角色的权限列表（已选中的）"""
     try:
-        data = PermissionService.get_role_permissions(role_code)
+        company_name = _get_operator_company()
+        data = PermissionService.get_role_permissions(role_code, company_name=company_name)
         return jsonify({'code': 200, 'msg': '获取成功', 'data': data}), 200
     except Exception as e:
         current_app.logger.error(f"Get Role Perms Failed: {str(e)}")
@@ -35,19 +45,21 @@ def get_role_perms(role_code):
 
 @permission_bp.route('/assign', methods=['POST'])
 @jwt_required()
+@permission_required('system_permission:operation')
 @audit_log(
     module='权限管理',
     action='分配',
     get_target_name_fn=lambda: request.get_json().get('role_code') if request.get_json() else None
 )
 def assign_perms():
-    """保存权限分配"""
+    """保存权限分配（自动带上当前操作者的公司标识）"""
     try:
         data = request.get_json()
         role_code = data.get('role_code')
-        permissions = data.get('permissions', [])  # list of codes
+        permissions = data.get('permissions', [])
 
-        PermissionService.assign_permissions(role_code, permissions)
+        company_name = _get_operator_company()
+        PermissionService.assign_permissions(role_code, permissions, company_name=company_name)
         return jsonify({'code': 200, 'msg': '保存成功'}), 200
     except Exception as e:
         current_app.logger.error(f"Assign Perms Failed: {str(e)}")