feat(security): implement permission checks in tenant CRUD routes and enhance API error handling

frontend/src/lib/api.ts

@@ -3,6 +3,7 @@
  */
 import { getToken } from './auth';
 import { browser } from '$app/environment';
+import { toast } from 'svelte-sonner';
 
 // Normalize API_BASE_URL to remove trailing slash
 const API_BASE_URL = (import.meta.env.VITE_API_URL || '').replace(/\/+$/, '');
@@ -172,6 +173,23 @@ async function fetchApi<T = any>(
 
 		// Si recibimos 401 o 403 y no es el endpoint de refresh, intentar refrescar el token
 		if ((response.status === 401 || response.status === 403) && !endpoint.includes('/auth/refresh') && retryCount === 0) {			
+			// Si es 403 (Forbidden), mostrar toast de permisos insuficientes
+			if (response.status === 403) {
+				if (browser) {
+					toast.error('No tienes permisos para realizar esta acción', {
+						duration: 4000,
+						description: 'Contacta a tu administrador si crees que esto es un error'
+					});
+				}
+				// Retornar el error 403 sin intentar refresh
+				const data = await response.json();
+				return {
+					error: data.detail || 'No tienes permisos para realizar esta acción',
+					status: 403
+				};
+			}
+			
+			// Si es 401, intentar refrescar el token
 			isRefreshing = true;
 
 			try {