feat(permisos): mostrar el menú según los permisos del usuario
Al entrar, el AuthGuard pide /api/auth/me, guarda los permisos en la sesión y valida el token contra el back. El menú muestra cada opción solo con su permiso; un usuario sin permisos ve solo el inicio.