4bd6765ab4
背景
----
此前【转交】只要持有 borrow_transfer 权限就可见可调，与「当前持有人」无关 ——
任何库管都能把别人保管的资产转给第三方，责任链形同虚设。业务方确认改为
**只有该物品的当前持有人本人可以发起**。
改动（前后端同改，缺一不可）
----
· service.transfer_borrow 新增 caller_user_id，强校验其 == 该明细
current_holder_id；传 None 一律拒绝，不做「系统内部调用」的隐式放行。
· get_records 为每条明细附加 can_transfer（当前持有人 == 我）—— 前端
localStorage 里只有 username 没有 user_id，故与 is_mine 一样由后端判定。
· 前端明细行【转交】改判 can_transfer；主行【转交】改为「该单下存在由我持有
的未还物品」时才出现；弹窗候选也过滤为「由我持有」，不是我的不列进来
（后端会拒，列出来只会误导）。
★ 连带调整：移除 route 上的 permission_required('borrow_transfer')
责任链规则既然是「持有人本人」，而持有人是普通员工、通常不持有库管权限，
再加一道库管权限，实际能发起的人变成「持有人 ∩ 库管」，绝大多数持有人
反而发不了 —— 功能形同虚设。这与 accept/reject 同级：员工处置自己名下资产。
真正的边界是 service 层的 caller_user_id 强校验，不是界面遮挡。
⚠ 由此 borrow_transfer 权限码已无任何代码引用（sys_element 中的定义与
4 个角色的授权仍在，属无害冗余）。若后续需要「管理员代办」入口，
可在此基础上加豁免；若确定不需要，该权限码可择期下线。
验证（13 项断言全通过）
----
· 非持有人发起被拒；未传调用者被拒；持有人转给自己被拒
· 持有人本人发起成功，from_user_id 正确记为持有人
· can_transfer：持有人 True / 接收人 False；接收转移后新持有人变 True
· 接收环节不受影响；库存零副作用、数据零残留
Vue 3 + TypeScript + Vite
This template should help get you started developing with Vue 3 and TypeScript in Vite. The template uses Vue 3 <script setup> SFCs, check out the script setup docs to learn more.
Learn more about the recommended Project Setup and IDE Support in the Vue Docs TypeScript Guide.