Restrict page sections API to admins [issue 1055]

[Levasey]

Summary
Restricts /api/pages/sections to users with the ADMIN role so unauthenticated and non-admin clients cannot call these endpoints.

Changes

1. PageSectionController: class-level @PreAuthorize("hasRole('ADMIN')"), same pattern as other admin controllers.
2. SecurityConfig: hasRole("ADMIN") for /api/pages/sections and /api/pages/sections/** so OAuth2 Resource Server returns 401 when there is no JWT (method security alone would often yield 403 for anonymous requests on permitAll() routes).
3. PageSectionControllerTest: JWT cookie for admin on successful flows; tests for 401 (no token) and 403 (candidate user) on POST.

[ann-p-1320]

Переименуй, плз, om в objectMapper

[ann-p-1320]

создание dto дублируется в двух тестах, можно вынести в отдельный метод. И заменить поля на более осмысленные, например dto.setPageKey("somePageKey") - так будет понятно, что в данном контексте неважно, что в этих полях, и при этом глаз не будет цепляться за "x", "y" и прочее.

[ann-p-1320]

лучше готовить тестовые данные внутри теста и только те, которые действительно нужны для выполнения этого теста

[ann-p-1320]

Вижу, что часть логики про подготовку тестовых данных ты вынес в тесты, но паттерн Arrange-Act-Assert все еще нарушен. Исправь, плз. Также каждый тест предлагаю разбить на секции
//given
//when
//then

[ann-p-1320]

Нужно, чтобы каждый тест был изолированным, для этого делают Arrange-часть каждого теста явной, а не спрятанной в общем setUp(). В данном случае метод setUp() нужно удалить и перенести создание тестовых данныхв каждый тест, соблюдая условие, что тест готовит тоько те тестовые данные, которые ему действиетльно нужны.