feat: Attribution de rôles multiples par utilisateur

Les utilisateurs Classeo étaient limités à un seul rôle, alors que
dans la réalité scolaire un directeur peut aussi être enseignant,
ou un parent peut avoir un rôle vie scolaire. Cette limitation
obligeait à créer des comptes distincts par fonction.

Le modèle User supporte désormais plusieurs rôles simultanés avec
basculement via le header. L'admin peut attribuer/retirer des rôles
depuis l'interface de gestion, avec des garde-fous : pas d'auto-
destitution, pas d'escalade de privilèges (seul SUPER_ADMIN peut
attribuer SUPER_ADMIN), vérification du statut actif pour le
switch de rôle, et TTL explicite sur le cache de rôle actif.

backend/tests/Unit/Administration/Infrastructure/Api/Controller/LogoutControllerTest.php

@@ -200,10 +200,13 @@ final class LogoutControllerTest extends TestCase
 
         // THEN: Cookies are cleared (expired)
         $cookies = $response->headers->getCookies();
-        $this->assertCount(2, $cookies); // /api and /api/token (legacy)
+        $this->assertCount(3, $cookies); // refresh_token /api, /api/token (legacy), classeo_sid
+
+        $cookieNames = array_map(static fn ($c) => $c->getName(), $cookies);
+        $this->assertContains('refresh_token', $cookieNames);
+        $this->assertContains('classeo_sid', $cookieNames);
 
         foreach ($cookies as $cookie) {
-            $this->assertSame('refresh_token', $cookie->getName());
             $this->assertSame('', $cookie->getValue());
             $this->assertTrue($cookie->isCleared()); // Expiry in the past
         }