fix: libera endpoints de aluno gated por permissão de colaborador

[FernandoAlmeidaPinto]

Summary

Três endpoints consumidos por alunos exigiam permissões de colaborador, causando 403 para alunos legítimos. Passam a exigir apenas autenticação (JwtAuthGuard):

• GET /materia — listagem de matérias na página de estudo (era visualizarDemanda). Dado é catálogo não-sensível; o irmão GET /materia/grouped-by-area já é público.
• GET /questao/:id/image — imagem de questão durante o simulado (era visualizarQuestao).
• GET /essay/:id — aluno visualiza a própria redação (era revisarRedacoes). Autorização real já vive no service: findById filtra por dono e validateReviewerScope autoriza revisor/admin. O guard anterior contradizia o próprio handler, que foi escrito para servir dono e revisor.

Why

Padrão recorrente: telas de aluno ("Meus Estudos", simulado, página de estudo) chamavam endpoints protegidos por permissões de área administrativa/correção que alunos nunca possuem.

Test plan

• Aluno (sem permissões de colaborador) lista matérias na página de estudo sem 403
• Aluno carrega imagens de questão durante o simulado
• Aluno abre o resultado da própria redação (/dashboard/redacao/:id)
• Aluno não consegue abrir redação de outro usuário (NotFound via findById)
• Revisor/colaborador do cursinho ainda abre redações dos alunos do seu cursinho (validateReviewerScope)

🤖 Generated with Claude Code