feat(products): catálogos de Tipo/Grupo/Subgrupo/Marca/Unidade com submenu e dropdowns

Menu Produtos ganha submenu (AppShell agora suporta itens aninhados) para
cadastrar Tipos/Grupos/Marcas/Unidades; Subgrupo é gerenciado a partir da
tela do Grupo (sempre pertence a um). O cadastro de item passa a usar
dropdowns desses catálogos em vez de texto livre — exatamente o que o
comentário original da migration de products já previa como trabalho
futuro.

Backend: 5 tabelas de catálogo simples (mesmo padrão dos catálogos
fiscais), products ganha as FKs correspondentes com backfill, e
endpoints CRUD (sem exclusão física, active=false é o "apagar").

Corrige também um buraco de integridade real encontrado na integração:
PATCH /v1/products/:id usava COALESCE para os campos de catálogo
opcionais, então não dava para distinguir "não mexer" de "limpar" —
trocar o Grupo de um produto sem tocar no Subgrupo deixava o vínculo
antigo órfão e inconsistente, sem nenhuma validação pegando isso. Agora
a atualização valida o estado efetivo resultante (bloqueia com 400 em
vez de corromper o vínculo) e productSubgroupId: null limpa de verdade.

Suíte: 95/95 verdes (92→95). pnpm turbo run typecheck build: 28/28.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

apps/api/test/contracts-edit-lock.spec.ts

@@ -9,6 +9,7 @@ import {
   loginSuperAdmin,
   qaEmail,
   qaKey,
+  qaName,
   type AuthedTokens,
 } from "./setup.js";
 
@@ -45,10 +46,27 @@ describe("contracts — edit lock past 'draft'", () => {
       .expect(201);
     resellerId = reseller.body.id;
 
+    const productType = await agent(app)
+      .post("/api/v1/products/types")
+      .set(...bearer(admin.accessToken))
+      .send({ name: qaName("Tipo Contract Lock") })
+      .expect(201);
+
+    const unit = await agent(app)
+      .post("/api/v1/products/units")
+      .set(...bearer(admin.accessToken))
+      .send({ name: qaName("Unidade Contract Lock") })
+      .expect(201);
+
     const product = await agent(app)
       .post("/api/v1/products")
       .set(...bearer(admin.accessToken))
-      .send({ name: "qa-test- Produto Contract Lock", productType: "service", price0: 100 })
+      .send({
+        name: "qa-test- Produto Contract Lock",
+        productTypeId: productType.body.id,
+        unitId: unit.body.id,
+        price0: 100,
+      })
       .expect(201);
     productId = product.body.id;