feat(api): UDT-004 dominio + repositorio + application roles (tdd)

- Migraciones V003 (tabla Rol + 8 seeds canonicos) y V004 (drop CK + FK Usuario.Rol)
- Dominio: Rol entity + 3 excepciones (RolNotFound/AlreadyExists/InUse)
- Infraestructura: RolRepository (Dapper) con List/Get/ExistsActive/Add/Update/HasActiveUsuarios
- Application: CRUD queries y commands (List, Get, Create, Update, Deactivate) + validators (codigo regex ^[a-z][a-z0-9_]*$)
- Validator UDT-003: whitelist alineada a codigos canonicos (full IRolRepository lookup diferido a Phase 5.1)
- Tests: 169 application + 15 api (todos verdes). Respawn configurado para re-seedear Rol canonical post-reset.
- Estricto TDD: RED/GREEN/TRIANGULATE en todos los handlers nuevos.

src/api/SIGCM2.Application/Roles/Update/UpdateRolCommandValidator.cs

@@ -0,0 +1,27 @@
+using FluentValidation;
+
+namespace SIGCM2.Application.Roles.Update;
+
+public sealed class UpdateRolCommandValidator : AbstractValidator<UpdateRolCommand>
+{
+    private const int NombreMaxLength = 60;
+    private const int DescripcionMaxLength = 250;
+
+    public UpdateRolCommandValidator()
+    {
+        // Codigo is taken from the URL route — we don't re-validate format here,
+        // but we require it to be non-empty so handler always has a target to match.
+        RuleFor(x => x.Codigo)
+            .NotEmpty().WithMessage("El código es requerido.");
+
+        RuleFor(x => x.Nombre)
+            .NotEmpty().WithMessage("El nombre es requerido.")
+            .MaximumLength(NombreMaxLength)
+                .WithMessage($"El nombre no puede superar los {NombreMaxLength} caracteres.");
+
+        RuleFor(x => x.Descripcion)
+            .MaximumLength(DescripcionMaxLength)
+                .WithMessage($"La descripción no puede superar los {DescripcionMaxLength} caracteres.")
+            .When(x => x.Descripcion is not null);
+    }
+}