fix(tkuser): Sprint 001 리뷰 권장 개선 3건 — 방어 코딩 및 일관성 보완

- setLongServiceExclusion: affectedRows 체크 추가 (존재하지 않는 user_id → 404)
- ACCESS_LEVELS: user: 1 키 추가 (role='user' 사용자 레벨 0 방지)
- escapeHtml → escHtml 통일 (tkuser-vacations.js 라인 381)

Co-Authored-By: Claude Opus 4.6 (1M context) <noreply@anthropic.com>

user-management/api/controllers/vacationController.js

@@ -130,10 +130,13 @@ async function setLongServiceExclusion(req, res, next) {
     }
     const { getPool } = require('../models/userModel');
     const db = getPool();
-    await db.query(
+    const [result] = await db.query(
       'UPDATE sso_users SET long_service_excluded = ? WHERE user_id = ?',
       [excluded ? 1 : 0, user_id]
     );
+    if (result.affectedRows === 0) {
+      return res.status(404).json({ success: false, error: '해당 사용자를 찾을 수 없습니다' });
+    }
     res.json({ success: true, message: `장기근속 제외 설정이 ${excluded ? '활성화' : '해제'}되었습니다` });
   } catch (err) { next(err); }
 }