chore: guard student avatar and leaderboard scope

2026-06-30 18:17:44 +08:00
parent ef153c05fd
commit 853b95c674
9 changed files with 94 additions and 13 deletions
--- a/docs/refactor/ai-development-guardrails.md
+++ b/docs/refactor/ai-development-guardrails.md
@@ -52,6 +52,7 @@
 - 严禁在日志、导入 issue、审计日志中写入明文验证码、商户密钥、OAuth secret、支付私钥。
 - 严禁把旧 PocketBase 字段结构作为新系统长期事实来源。
 - 严禁为学生头像新增上传链路、对象存储签名、第三方头像落库或后台批量导入字段；学生头像只允许 `avatarPreset=male/female` 默认资源，租户后台学生接口也不能写头像 URL 或平台主角色字段。
+- 严禁在学生端默认请求或展示排行榜；排行榜接口只作为租户显式开启后的活动能力，默认学习激励以后台配置的勋章自动发放为主。

 ## Supabase 直连表的准入条件