[Bug] Manager API: /grid-config write под view_document (глобальный UI для всех)

[Ibochkarev]

Описание проблемы

Группа /api/mgr/grid-config защищена PermissionMiddleware(..., 'view_document'). Write-методы (PUT config, add/update/delete field) пишут в msGridField без user-scope — колонки грида меняются глобально для всех менеджеров.

Любой mgr с правом просмотра документов может перестроить грид заказов/товаров.

Шаги воспроизведения

1. Mgr-юзер только с view_document (без mssetting_save).
2. PUT connector route=/api/mgr/grid-config/orders с fields:[...].
3. Колонки грида заказов меняются для всех менеджеров.

Ожидаемое поведение

• Read: view_document / msorder_list (по гриду) — ок.
• Write: mssetting_save или отдельное permission на настройку гридов.

Фактическое поведение

// manager.php ~961-1001
}, [ new PermissionMiddleware($modx, 'view_document') ]);

GridConfigService::saveGridConfig пишет глобально.

Окружение

• MiniShop3: beta / Manager REST
• MODX: 3.x
• PHP: 8.2+

Дополнительный контекст

Отдельно от #378 (customers/category) и #381 (/config page-fields). Та же ACL-тема, другая поверхность.