新增后台 AGC 模板管理与模板库内容寻址落库

- 后台新增「模板管理」页：按权限查看并编辑模板名称/简介/标签/封面，支持上架与下架；路由、侧栏、tab 权限、API 客户端与 DTO 同步接入
- api-server 新增 /admin/api/agc-templates 读取与更新路由，复用现有后台鉴权与 tab 权限校验，权限不足按既有失败关闭口径拒绝
- module-assets 收敛模板库纯规则（active/inactive 投影、索引 schema 与重复项校验、ZIP 大小与摘要核对），platform-oss 承担对象存储读写、不可变对象复用与发布互斥锁
- shared-contracts 补后台模板 DTO；spacetime-module 账号存储适配保持既有 schema 不变
- AGC 壳内置模板索引与建项读取改为内容寻址对象，补模板安装、越界归档、索引不匹配等用例
- 模板库发布脚本支持定向发布与上架/下架合并、内容地址复用与锁语义，CLI 守卫用例同步；jenkins 两条客户端打包管线统一触发邮件通知 Job 并传递首装包链接
- 内置 5 个 Cocos 官方模板载荷与索引 fixture（内容地址对象，共 90 个文件）
- 补「后台模板管理」里程碑与实施计划，更新模板库技术方案、开发运维文档与共享记忆
- 验证：admin-web 39 项用例与 typecheck、发布脚本 25 项用例、api-server 与 AGC 壳编译、模板库定向 Rust 用例（AGC 壳 18 项、module-assets/platform-oss 16 项、后台权限 1 项）、check:encoding / check:doc-index / check:production-ops / rustfmt 全部通过

server-rs/crates/api-server/src/admin.rs

@@ -2188,6 +2188,8 @@ fn admin_permission_requirement(_method: &Method, path: &str) -> AdminPermission
     match path {
         "/admin/api/me" => Authenticated,
         "/admin/api/agc-models" => OwnerOnly,
+        "/admin/api/agc-templates" => AnyTab(&["agc-templates"]),
+        path if path.starts_with("/admin/api/agc-templates/") => AnyTab(&["agc-templates"]),
         "/admin/api/dashboard" => AnyTab(&["dashboard"]),
         "/admin/api/overview" => AnyTab(&["overview"]),
         "/admin/api/external-api-keys" => AnyTab(&["tables"]),
@@ -6845,6 +6847,38 @@ mod tests {
         ));
     }
 
+    #[test]
+    fn agc_template_routes_require_the_template_tab_permission() {
+        for (method, path) in [
+            (Method::GET, "/admin/api/agc-templates"),
+            (Method::PUT, "/admin/api/agc-templates/cocos-empty-2d"),
+        ] {
+            assert!(enforce_admin_request_permission("owner", &[], &[], &method, path).is_ok());
+            assert!(
+                enforce_admin_request_permission(
+                    "member",
+                    &["agc-templates".to_string()],
+                    &[],
+                    &method,
+                    path,
+                )
+                .is_ok()
+            );
+            assert_eq!(
+                enforce_admin_request_permission(
+                    "member",
+                    &["editor-assets".to_string()],
+                    &[],
+                    &method,
+                    path,
+                )
+                .expect_err("unassigned template permission")
+                .status_code(),
+                StatusCode::FORBIDDEN
+            );
+        }
+    }
+
     #[test]
     fn admin_tab_permissions_cover_shared_and_sensitive_routes() {
         assert!(