feat(tkuser): requireAdmin → requireAdminOrPermission 전환 — 권한 기반 접근 제어

- 9개 라우트 파일의 쓰기 작업을 requireAdminOrPermission으로 전환
- 권한 관리에서 tkuser.* 권한 부여 시 일반 사용자도 해당 탭 접근 가능
- GET(참조 데이터)은 requireAuth 유지, permissionRoutes는 admin 전용 유지
- 기존 partnerRoutes.js 패턴과 동일한 방식 적용

Co-Authored-By: Claude Opus 4.6 (1M context) <noreply@anthropic.com>

user-management/api/routes/userRoutes.js

@@ -6,16 +6,18 @@ const express = require('express');
 const router = express.Router();
 const userController = require('../controllers/userController');
 const permissionController = require('../controllers/permissionController');
-const { requireAuth, requireAdmin } = require('../middleware/auth');
+const { requireAuth, requireAdminOrPermission } = require('../middleware/auth');
 
-// 사용자 CRUD (admin)
-router.get('/', requireAdmin, userController.getUsers);
-router.post('/', requireAdmin, userController.createUser);
-router.put('/:id', requireAdmin, userController.updateUser);
-router.delete('/:id', requireAdmin, userController.deleteUser);
+const userPerm = requireAdminOrPermission('tkuser.users');
+
+// 사용자 CRUD
+router.get('/', userPerm, userController.getUsers);
+router.post('/', userPerm, userController.createUser);
+router.put('/:id', userPerm, userController.updateUser);
+router.delete('/:id', userPerm, userController.deleteUser);
 
 // 비밀번호 관리
-router.post('/:id/reset-password', requireAdmin, userController.resetPassword);
+router.post('/:id/reset-password', userPerm, userController.resetPassword);
 router.post('/change-password', requireAuth, userController.changePassword);
 
 // 사용자별 페이지 권한 조회 (auth - /api/users/:id/page-permissions)