fix(manager-api): require msorder_save for order write routes

[Ibochkarev]

Описание

Группа /api/mgr/orders/* целиком висела на msorder_list, поэтому роль только со списком могла менять и удалять заказы через Manager API.

Разделил маршруты на две группы:

• GET (list, filters, get, products, logs) → msorder_list
• POST/PUT/DELETE (create, update, delete, finalize, recalculate, products) → msorder_save

PermissionMiddleware по-прежнему отдаёт 403 до контроллера. Родительский AuthMiddleware(mgr) не менялся.

Тип изменений

• Исправление бага (non-breaking change)
• Новая функциональность (non-breaking change)
• Breaking change (изменение, ломающее обратную совместимость)
• Рефакторинг (без изменения функциональности)
• Документация
• Другое (опишите):

Связанные Issues

Closes #377

Как это было протестировано?

• Ручное тестирование
• Автоматические тесты (PHPStan, ESLint)
• Тестирование на разных версиях PHP/MODX

Gate E (exit codes):

• php -l core/components/minishop3/config/routes/manager.php → 0
• php -l core/components/minishop3/tests/OrdersRoutePermissionsTest.php → 0
• php core/components/minishop3/tests/OrdersRoutePermissionsTest.php → 0 (OK)
• red-green: на origin/beta тот же тест падает (POST … → msorder_list); после фикса → 0
• php core/components/minishop3/tests/DirectFilterKeysTest.php → 0

Конфигурация тестирования:

• MiniShop3: ветка fix/issue-377-orders-msorder-save
• MODX: n/a (standalone router load + stub modX)
• PHP: 8.x локально

Скриншоты (если применимо)

До	После

Чеклист

• Код соответствует стилю проекта
• Добавлены/обновлены комментарии в сложных местах
• Изменения не ломают существующую функциональность
• Лексиконы добавлены на двух языках (ru/en)
• PHPStan проходит без новых ошибок
• ESLint проходит без ошибок (для JS/Vue изменений)
• Обновлён CHANGELOG.md (для значимых изменений)

Дополнительные заметки

• DELETE остаётся под msorder_save (как в AC issue). Отдельный msorder_remove — follow-up.
• UI менеджера по-прежнему может показывать кнопки записи list-only роли; отказ придёт 403 с API.
• Ревью: security / code-review / thermo-nuclear — блокеров нет. Тест переписан на загрузку Router + инспекцию middleware вместо парсинга исходника.

[Ibochkarev]

Follow-up по silent-failure review

Закрыто в PR:

• M1 / L1 — тест больше не парсит исходник regex’ом: грузит Router + stub modX, проверяет middleware на маршрутах и runtime 403 через dispatch (list-only write / save-only read).

Оставлено follow-up (вне #377):

• M2 — UI-gating кнопок по MODx.perm.msorder_save
• M3 — DELETE на msorder_remove вместо msorder_save
• L2–L5 — локализация 403, соседние dropdown/grid-config, custom route overrides