[Bug] Manager API: /references/* без PermissionMiddleware — PII покупателей любому mgr

[Ibochkarev]

Описание проблемы

Группа /api/mgr/references закрыта только outer AuthMiddleware (mgr login + MODAUTH), без PermissionMiddleware.

GET /api/mgr/references/customers отдаёт email, phone, orders_count, total_spent. Для /api/mgr/customers нужен хотя бы view_document (#378); здесь достаточно любого менеджера.

Шаги воспроизведения

1. Mgr-юзер без прав на заказы/покупателей (только базовый mgr login).
2. GET connector route=/api/mgr/references/customers&query=mail@.
3. В ответе PII активных покупателей.

Ожидаемое поведение

References с PII требуют минимум тех же permission, что и customers/orders (view_document / msorder_list / отдельный ACL).

Фактическое поведение

// config/routes/manager.php ~132-162
$router->group('/references', function(...) {
    // getVendors, searchCustomers, ...
}); // нет PermissionMiddleware

Окружение

• MiniShop3: beta / Manager REST
• MODX: 3.x
• PHP: 8.2+

Дополнительный контекст

Сильнее #378: там есть хотя бы view_document. Здесь — любой authenticated mgr.