test: 集成测试改用真 LLDAP 容器；修复两处物化缺陷

- 集成测试重构：syncer e2e/materialize、ldaplib 读路径、lldapgql 全改用本地
  LLDAP 容器（LDAP 3890 / GraphQL /api/graphql 17170），删旧 OpenLDAP 断言
- 修复 1：ActiveUsers 不填 DepartmentIDs（存于关系表），BuildFromMirror 拿到空成员；
  新增 ActiveUsersWithDepts，物化 plan 用之
- 修复 2：deleted 用户重新可见后不回 active，无法重建；RevertToActive 纳入 deleted，
  快照 reconcile 对其置回 active + 作废 token
- 关键安全回归单测保留并配变异验证：未确认不删、非受管不删、admin 永不移出、
  删除最后阶段、绝不碰密码。全量单测+vet+集成全绿

internal/syncer/runner.go

@@ -143,7 +143,7 @@ func (r *Runner) prepare(ctx context.Context, run *store.SyncRun, force bool) (*
 // plan 读两侧状态并计算物化计划。
 func (r *Runner) plan(ctx context.Context) (*Plan, *mapping.DesiredState, error) {
 	// 期望侧：只读 SQLite 镜像的 active 视图，不碰飞书。
-	activeUsers, err := r.store.ActiveUsers()
+	activeUsers, err := r.store.ActiveUsersWithDepts()
 	if err != nil {
 		return nil, nil, err
 	}