Fix: usuario sin permiso podía abrir el alta de estudiante por URL directa
El menú y el botón "Nuevo" ya se ocultaban sin CREAR_ESTUDIANTE, pero /estudiantes/nuevo no chequeaba nada: escribiendo la URL se veía el formulario completo (el backend recién rechazaba con 403 al guardar). Ahora la página verifica el permiso server-side y muestra "No tenés permiso" en su lugar. Mismo problema y mismo arreglo en /estudiantes/[id]/editar con EDITAR_ESTUDIANTE.
getCurrentUser pasa a usar cache() para que el layout de (app) y la página compartan una sola llamada a /auth/me por request.