M02-C 访问能力返回

GET /app-api/auth/me 在用户资料之外新增：

{
  "access": {
    "roles": ["CUSTOMER"],
    "capabilities": ["order.self.read", "profile.read"],
    "storeIds": []
  }
}

角色、capability 和门店范围全部由后端按当前租户和服务端会话查询，小程序不得自行声明角色或扩大门店范围。