fix(product-data): category scope для inline-edit PUT

[Ibochkarev]

Описание

Закрывает #444: inline-edit в гриде «Товары категории» шлёт PUT /api/mgr/product-data/{id} без привязки к категории — можно было менять данные чужого товара по id.

Threat model: при наличии category_id в теле запроса backend проверяет, что msProduct.parent входит в тот же scope, что и list-фильтр грида (parent = categoryId или nested descendants). Поля category_id / nested вырезаются до updateProductData(). Без category_id поведение прежнее — нужно для вкладки ProductDataFields (редактирование карточки товара вне контекста категории).

Vue-грид теперь всегда передаёт category_id + nested при inline-save.

Тип изменений

• Исправление бага (non-breaking change)

Связанные Issues

Closes #444

Как это было протестировано?

cd core/components/minishop3
php -l src/Services/Category/CategoryProductScopePolicy.php   # exit 0
php -l src/Services/Category/CategoryProductsListService.php  # exit 0
php -l src/Controllers/Api/ProductDataController.php          # exit 0
php tests/CategoryProductScopePolicyTest.php                  # exit 0
php tests/run-smoke.php                                       # exit 0 (11/11)

cd ../../../vueManager
npx eslint src/composables/useCategoryProductsInlineEdit.js src/components/CategoryProductsGrid.vue  # exit 0

Ручной сценарий:

1. Mgr → категория A → inline-edit поля товара из A — OK.
2. PUT /product-data/{foreignId} с category_id=A, nested=0 для товара из другой категории — 403 + lexicon ms3_err_product_not_in_category_scope.
3. PUT /product-data/{id} без category_id из вкладки ProductData — без изменений (global save).

Gate A

AC	Код	Тест
Scope как list/mutations категории	getAllowedProductParentCategoryIds + isProductInCategoryScope	CategoryProductScopePolicyTest
product-data проверяет category context	ProductDataController::update	manual
Inline-edit из грида передаёт context	useCategoryProductsInlineEdit	manual

Чеклист

• Lexicon ru/en (ms3_err_product_not_in_category_scope)
• CHANGELOG — не требуется по политике релиза

Дополнительные заметки

Out of scope (отдельный issue): полное закрытие unscoped PUT /product-data/{id} — сломает ProductDataFields.vue. Category-scoped route (/categories/{id}/products/{productId}/data) — возможный follow-up.

Refs #418 — bulk mutations category products пока без scope-check в CategoryProductsController::multiple() (не входит в #444).