fd084bf8fd
问题
----
POST /inbound/base/ 与 PUT /inbound/base/<id> 的 field_to_perm 里**没有**
productImageRemark / manualLinkRemark，于是这两个字段落入
「不在映射中 → 默认允许」的兜底分支 —— 任何能调通该接口的角色都能改。
配合读侧引用幽灵权限码，形成「谁都能写、除超管没人能读」的错位。
改动
----
两处映射（创建 + 修改）同时显式补入：
'productImageRemark': 'material_list:remark_edit',
'manualLinkRemark': 'material_list:remark_edit',
无写权限者的请求不会携带该字段进入服务层 —— 是「丢弃本次修改」而非
「写成空值」，因此不会误清既有内容。
★ 超管不受影响：base.py 的 get_current_user_permissions() 对超管返回的
硬编码列表以 'material_list:*' 开头，命中通配符分支后整段过滤被跳过。
验证（6 个角色 × 读写，12 项断言全通过）
超管 / 主管 / 库管 → 读✓ 写✓
入库 / 出库 / 销售 → 读✓ 写✗