fix: 캘린더 모달 중복 카드 문제 및 삭제 권한 개선

- monthly_worker_status 조회 시 GROUP BY로 중복 데이터 합산
- 작업보고서 삭제 권한을 그룹장 이상으로 제한 (admin, system, group_leader)
- 중복 데이터 정리를 위한 마이그레이션 SQL 추가 (009_fix_duplicate_monthly_status.sql)
- synology_deployment 버전에도 동일 수정 적용

api.hyungi.net/controllers/dailyWorkReportController.js

@@ -368,17 +368,28 @@ const updateWorkReport = async (req, res) => {
 
 /**
  * 🗑️ 특정 작업보고서 삭제 (V2 - Service Layer 사용)
+ * 권한: 그룹장(group_leader), 시스템(system), 관리자(admin)만 가능
  */
 const removeDailyWorkReport = async (req, res) => {
   try {
     const { id: reportId } = req.params;
     const userInfo = {
       user_id: req.user?.user_id || req.user?.id,
+      access_level: req.user?.access_level || req.user?.role,
     };
 
     if (!userInfo.user_id) {
       return res.status(401).json({ error: '사용자 인증 정보가 없습니다.' });
     }
+
+    // 권한 체크: 그룹장, 시스템, 관리자만 삭제 가능
+    const allowedRoles = ['admin', 'system', 'group_leader'];
+    if (!allowedRoles.includes(userInfo.access_level)) {
+      return res.status(403).json({ 
+        error: '작업보고서 삭제 권한이 없습니다.',
+        details: '그룹장 이상의 권한이 필요합니다.'
+      });
+    }
     
     const result = await dailyWorkReportService.removeDailyWorkReportService(reportId, userInfo);
     
@@ -405,6 +416,7 @@ const removeDailyWorkReport = async (req, res) => {
 const removeDailyWorkReportByDateAndWorker = (req, res) => {
   const { date, worker_id } = req.params;
   const deleted_by = req.user?.user_id || req.user?.id;
+  const access_level = req.user?.access_level || req.user?.role;
 
   if (!deleted_by) {
     return res.status(401).json({ 
@@ -412,6 +424,15 @@ const removeDailyWorkReportByDateAndWorker = (req, res) => {
     });
   }
 
+  // 권한 체크: 그룹장, 시스템, 관리자만 삭제 가능
+  const allowedRoles = ['admin', 'system', 'group_leader'];
+  if (!allowedRoles.includes(access_level)) {
+    return res.status(403).json({ 
+      error: '작업보고서 삭제 권한이 없습니다.',
+      details: '그룹장 이상의 권한이 필요합니다.'
+    });
+  }
+
   console.log(`🗑️ 날짜+작업자별 전체 삭제 요청: date=${date}, worker_id=${worker_id}, 삭제자=${deleted_by}`);
 
   dailyWorkReportModel.removeByDateAndWorker(date, worker_id, deleted_by, (err, affectedRows) => {