chore: guard student avatar and leaderboard scope

README.md

@@ -606,6 +606,6 @@ git diff --check
 2. 继续补 Taro 前端：学生端小程序公式真机验收、题图资源后台字段化、小程序支付与分享，租户后台更细导入体验/数据范围 UI/主题素材库/财务复核细节，平台后台在线收款、审计报表增强、审计告警通知升级策略、催缴通知操作台细节和小程序兼容验证。
 3. 对象存储真实 AV/内容安全扫描服务联调、CDN 防盗链、转码/CDN 级水印和生命周期策略。
 4. 题库导出模板精排、导出操作台、导入字段映射 UI 和复检结果操作台；继续对真实迁移数据做题目、订单、权益、错题、资料和视频抽样验收。
-5. 上云后接真实 OAuth/短信/支付生产账号、回调域名和真实生产账单抽样验收；本地阶段继续用 mock/fake provider 验证回调后业务链路、幂等、审计、密钥不泄露和权益开通/撤销。后续还要补真实打款 provider、发票、公共题库版本通知/冲突处理操作台、积分活动风控和连续签到奖励深化，以及排行榜防刷/预聚合。
+5. 上云后接真实 OAuth/短信/支付生产账号、回调域名和真实生产账单抽样验收；本地阶段继续用 mock/fake provider 验证回调后业务链路、幂等、审计、密钥不泄露和权益开通/撤销。后续还要补真实打款 provider、发票、公共题库版本通知/冲突处理操作台、积分活动风控和连续签到奖励深化。排行榜不是默认主线功能，仅在租户显式购买/开启活动并完成压测后，才进入防刷、日/周榜预聚合和运营看板开发。
 
 旧原生小程序前端位于 `F:\project\参考\旧题库小程序前端文件`，后续 Taro H5/小程序补体验时只作为页面状态、微信平台能力和交互参考，不继承旧 PocketBase 直连和旧鉴权逻辑。

docs/refactor/ai-development-guardrails.md

@@ -52,6 +52,7 @@
 - 严禁在日志、导入 issue、审计日志中写入明文验证码、商户密钥、OAuth secret、支付私钥。
 - 严禁把旧 PocketBase 字段结构作为新系统长期事实来源。
 - 严禁为学生头像新增上传链路、对象存储签名、第三方头像落库或后台批量导入字段；学生头像只允许 `avatarPreset=male/female` 默认资源，租户后台学生接口也不能写头像 URL 或平台主角色字段。
+- 严禁在学生端默认请求或展示排行榜；排行榜接口只作为租户显式开启后的活动能力，默认学习激励以后台配置的勋章自动发放为主。
 
 ## Supabase 直连表的准入条件
 

docs/refactor/backend-handoff-roadmap.md

@@ -23,7 +23,7 @@
 | 多租户底座 | 可联调 | 租户、域名、品牌、设置、RLS 基础、审计、Supabase JWT/API 身份映射；`npm run test:rls` 已提供本地动态租户隔离验收；`npm run smoke:auth:remote` 已提供真实云端 Supabase access token 回归脚本 | 真实云端 Auth/JWKS 回归需要在预生产/生产环境执行并留档，生产 RLS 深测继续执行 |
 | 平台后台 | 基础完成 | 租户、租户详情、账务资料维护、平台账号细粒度权限目录、平台员工列表/创建/编辑/启停、平台路由权限强校验、平台审计日志查询、平台审计 CSV/JSON 导出、平台审计告警规则/列表/确认/解决、platform-audit-alerts worker、审计告警外部通知渠道/事件 API、platform-audit-notifications worker、套餐、订阅、订阅账单候选预览、dry-run、批量生成、自动计费 worker、重复开票保护、服务费、人工收款、逾期标记、内部催缴台账、催缴外部通知渠道/事件 API、platform-dunning-notifications worker、用量、公共题库授权、公共题库地区/科目授权校验、SaaS 套餐/订阅 metadata 公共题库访问边界、公共题库自动同步 worker、公共题库冲突单条/批量处理 API、公共题库同步通知第一版 | 平台在线收款、平台审计告警升级策略和更完整运营消息 |
 | 租户后台 | 可联调 | 品牌、域名、支付账户、登录配置、密钥掩码、活动、兑换码、优惠券、勋章管理/手动发放/签到/积分/反馈/活动自动发放、积分任务、积分兑换、积分风控只读报表、用户站内通知查看、成员权限、角色模板、菜单/模块/字段权限配置 API、班级/教师/学生范围权限、学生运营跟进、学习督导规则模板和 `student-supervision` worker；Taro 工作台已接权限驱动模块入口，学生运营页已接学生创建/更新、禁用/恢复、批量导入、批量分班、备注、跟进任务、学习督导预览/生成和保存每日规则第一版，租户设置页已接角色模板和成员绑定操作台第一版，营销中心已接 CRM 配置/队列、分佣结算、优惠券规则/核销报表、积分任务/兑换操作台、积分风控摘要和用户通知查看第一版 | 更细的数据范围组合、成员批量运营、学习督导触达联动/效果归因、真实打款/导出/凭证和完整权限菜单 |
-| 题库与练习 | 可联调 | 内容入口、任意深度分类、题目集合、顺序/随机/全真模拟蓝图、组卷快照、客观题后端判分、主观题 `selfJudgedCorrect` 自评、阅读理解/案例分析 `subAnswers` 多小题判分、答题、错题、收藏、模考报告、排行榜接口（租户默认关闭）、公共题库采纳快照、手动同步、自动同步 worker、冲突查询/单条和批量处理 API、公共题库同步通知、starter 单地区/专业版全国公共题库访问边界、JSON/试卷 payload 导出、PDF/Word 异步导出 worker、水印和资料发布路径、每日一练九宫格 metadata、PDF/Word 运营版式和 ZIP 图片素材包 | 长题干/公式图片混排体验、导出模板精排、导出操作台、排行榜开启前压测、防刷和预聚合 |
+| 题库与练习 | 可联调 | 内容入口、任意深度分类、题目集合、顺序/随机/全真模拟蓝图、组卷快照、客观题后端判分、主观题 `selfJudgedCorrect` 自评、阅读理解/案例分析 `subAnswers` 多小题判分、答题、错题、收藏、模考报告、排行榜接口（租户默认关闭）、公共题库采纳快照、手动同步、自动同步 worker、冲突查询/单条和批量处理 API、公共题库同步通知、starter 单地区/专业版全国公共题库访问边界、JSON/试卷 payload 导出、PDF/Word 异步导出 worker、水印和资料发布路径、每日一练九宫格 metadata、PDF/Word 运营版式和 ZIP 图片素材包 | 长题干/公式图片混排体验、导出模板精排、导出操作台；排行榜仅在租户显式开启活动后再补压测、防刷和预聚合 |
 | 背单词 | 可联调 | 单元、单词、进度、收藏、统计、每日计划、JSON/CSV/Excel 导入、排行榜接口（租户默认关闭） | 更细复习参数 |
 | 知识手册 | 可联调 | 科目、章节、条目、Markdown 内容、嵌套 JSON/CSV/Excel 导入 | 富文本资源、版本管理、附件/PDF 关联 |
 | 分数线 | 可联调 | 院校、专业、动态字段、记录、年份、趋势、后台维护、JSON/CSV/Excel 导入，AI 择校推荐已可读取地区/分数线上下文 | 复杂筛选和更细 AI 推荐运营配置 |

docs/refactor/blueprint-coverage.md

@@ -19,8 +19,8 @@
 | 租户品牌和域名 | 基础完成 | 品牌、Logo、主题 JSON、公开资源、域名、租户公开配置 | 三套默认主题、主题可视化编辑、图标/图片上传 |
 | 租户成员权限 | 可联调 | owner/admin/operator/teacher/sales/agent/student，权限矩阵，成员启停，角色模板、菜单/模块/字段权限、班级/学生范围权限和审计查询 | 前端权限 UI、更细的数据范围组合 |
 | 题库内容维护 | 可联调 | 内容入口、任意深度分类树、院校/专业/学科/销售意向标记、题目集合、顺序/随机/全真模拟练习蓝图、题目录入/更新、题目/单词/知识手册/分数线/视频 JSON/CSV/Excel 预览导入、`executionMode=async` 导入 worker、导入后复检、模板/字段映射 API、视频绑定、分数线、单词、知识手册后台 API、公共题库授权、采纳快照、手动同步、自动同步 worker、同步通知、冲突查询 API、按 SaaS 套餐和订阅 metadata 控制公共题库地区/科目/题库范围 | 字段映射 UI、公共题库失败告警/冲突操作台增强、可视化拖拽排序前端 |
-| 学生刷题 | 基础完成 | 内容入口、分类树、题目集合、顺序刷题、随机刷题、全真模拟 session 题目快照、答题、错题本、收藏夹、模考交卷评分报告、错题复习计划、排行榜 | 专项练习策略、题型统计深度分析、排行榜防刷/预聚合 |
+| 学生刷题 | 基础完成 | 内容入口、分类树、题目集合、顺序刷题、随机刷题、全真模拟 session 题目快照、答题、错题本、收藏夹、模考交卷评分报告、错题复习计划、排行榜接口（租户默认关闭） | 专项练习策略、题型统计深度分析；排行榜仅作为租户显式开启后的活动能力 |
-| 背单词 | 基础完成 | 单词单元、单词、进度、收藏、统计、每日复习计划、旧模板/新模板 JSON/CSV/Excel 预览导入、内容导航绑定、排行榜 | 更细复习参数 |
+| 背单词 | 基础完成 | 单词单元、单词、进度、收藏、统计、每日复习计划、旧模板/新模板 JSON/CSV/Excel 预览导入、内容导航绑定、排行榜接口（租户默认关闭） | 更细复习参数 |
 | 知识手册 | 基础完成 | 科目、章节、条目只读与后台维护、书籍/章节/小节/知识点嵌套 JSON 预览导入、内容导航绑定 | 富文本资源、版本管理、附件/PDF 关联、Excel/Markdown 批量解析 |
 | 分数线 | 可联调 | 字段、院校、专业、记录、趋势、年份、JSON 批量导入 | 复杂动态筛选、AI 择校数据上下文 |
 | 视频解析会员 | 可联调 | 题目视频、批量查询、后台绑定、视频 JSON 导入、SVIP 权限、播放次数扣减、签名 URL、播放日志、动态水印上下文 | 深度防盗链、转码级水印、播放统计 |
@@ -38,7 +38,7 @@
 
 1. 完善内容导入和对象存储：字段映射 UI、真实数据 dry-run、CDN 防盗链、真实 AV/内容安全服务联调和转码级视频水印。
 2. 公共题库/地区题库授权：已完成披露、采纳快照、手动同步、自动同步 worker、同步通知、冲突查询、租户自改保护，以及按 SaaS 套餐/订阅 metadata 限制公共题库地区、科目和题库范围；继续补生产失败告警和冲突操作台增强。
-3. 学习统计增强：排行榜防刷/预聚合、断点续练、专项练习策略和更细题型分析。
+3. 学习统计增强：专项练习策略和更细题型分析；排行榜默认不进入学生端主线，仅在租户显式购买/开启活动并完成压测后再补防刷和日/周榜预聚合。
 4. 视频会员控制：深度防盗链、转码级水印和播放统计。
 5. 数据看板预聚合：把实时聚合升级为大租户可承载的日/周/月预聚合。
 6. 真实 provider：短信、微信/QQ 登录、微信支付/支付宝生产账号联调；CRM worker 基础已落地，继续补分配策略和告警。

docs/refactor/implementation-status.md

@@ -312,7 +312,7 @@ platform-admin:
 
 1. 完善内容导入和文件上传：字段映射 UI、真实数据 dry-run 执行验收、CDN 防盗链、真实 AV/内容安全服务联调。
 2. 补公共题库生产定时调度/失败告警、租户套餐地区/科目/题库范围限制、主题模板系统。
-3. 补学习统计增强：排行榜防刷/预聚合、断点续练、专项练习策略和更细题型分析。
+3. 补学习统计增强：专项练习策略和更细题型分析；排行榜默认关闭且学生端默认不请求，仅在租户显式购买/开启活动并完成压测后再补防刷和预聚合。
 4. 补视频商用控制：深度防盗链、转码级水印和播放统计。
-5. 补 AI 择校推荐报告、排行榜防刷/预聚合、外部订阅消息/短信和更完整活动效果看板。
+5. 补 AI 择校推荐报告、外部订阅消息/短信和更完整活动效果看板；排行榜只作为显式活动需求进入后续防刷/预聚合开发。
 6. 接真实短信/OAuth 生产账号、真实生产账单格式验收和异常订单运营台，并继续推进 Taro scaffold。

docs/refactor/legacy-feature-gap-matrix.md

@@ -23,11 +23,11 @@
 | 多级分类树 | 旧 module/subject/category 树 | 已覆盖 | 新后端支持任意深度和 `marker_type`；前端不要写死层级 |
 | 顺序刷题 | `pages/Quiz.tsx` | 部分覆盖 | 免费额度/SVIP 校验、session 快照、练习历史、趋势统计和题目反馈已由后端强制；Taro 已有答题卡、后端 session detail 续练、本地进度恢复、客观题自动提交、主观题后端自评、阅读理解/案例分析多小题作答、题干/选项/解析 RichContent 安全渲染、H5 KaTeX 公式渲染、`content_assets` 私有题图短签名渲染地基和报告明细第一版；继续补小程序公式真机验收、题图资源字段化和更完整复盘体验 |
 | 随机刷题 | `pages/Quiz.tsx` | 部分覆盖 | 已有 blueprint/session 快照、访问控制和历史统计；Taro 已按 session 题目快照渲染第一版，并复用 RichContent 渲染长题干/图片/公式占位；继续补随机刷题状态管理和更完整复盘 |
-| 全真模拟 | `components/AdminMockexam`、`MockExamConfigModal.tsx` | 部分覆盖 | blueprint、session 快照、倒计时、交卷评分、分段统计、错题解析汇总、逐题复盘第一版和复合题子题部分得分已覆盖；后续补排行榜/排名、完整复盘体验 |
+| 全真模拟 | `components/AdminMockexam`、`MockExamConfigModal.tsx` | 部分覆盖 | blueprint、session 快照、倒计时、交卷评分、分段统计、错题解析汇总、逐题复盘第一版和复合题子题部分得分已覆盖；后续补完整复盘体验。排行榜/排名不默认进入学生端，仅在租户显式开启活动后接入 |
 | 错题本 | 用户 stats/错题逻辑 | 已覆盖 | 错题列表、移出错题、复习计划和 `wrong_review` 后端组卷已覆盖；后续补更细的间隔复习算法 |
 | 收藏夹 | `WordFavoritesPage.tsx`、题目收藏 | 已覆盖 | 题目和单词收藏已有 |
 | 题目视频 | `VideoPlayer.tsx` | 部分覆盖 | 题目视频查询、播放签名、SVIP/次数扣减、播放日志和动态水印上下文已有；缺深度防盗链、转码级水印、播放统计报表 |
-| 背单词 | `VocabularyPage.tsx`、`VocabularyQuiz.tsx` | 部分覆盖 | 单词列表、进度、收藏、统计、每日计划、后端复习调度、Taro 学习概览、掌握率、计划拆分、卡片翻转、上一个/下一个、跳转、发音、美/英音切换、收藏练习和本地进度恢复第一版已覆盖；后续补租户级发音源配置、排行榜运营看板、小程序音频兼容验收和更精细的间隔算法参数 |
+| 背单词 | `VocabularyPage.tsx`、`VocabularyQuiz.tsx` | 部分覆盖 | 单词列表、进度、收藏、统计、每日计划、后端复习调度、Taro 学习概览、掌握率、计划拆分、卡片翻转、上一个/下一个、跳转、发音、美/英音切换、收藏练习和本地进度恢复第一版已覆盖；后续补租户级发音源配置、小程序音频兼容验收和更精细的间隔算法参数。排行榜运营看板只作为显式活动需求 |
 | 知识手册 | `Handbook*.tsx` | 已覆盖 | Taro 已接手册科目/章节/条目、RichContent 安全渲染、H5 KaTeX 公式渲染和私有资源 ID 短签名地基第一版；后续补搜索、高亮、目录锚点、小程序公式真机验收和图片资源字段化 |
 | 分数线 | `ScorelinePage.tsx` | 已覆盖 | 动态字段/趋势、后台维护和 JSON 批量导入已有；后续补复杂筛选优化和 AI 择校数据上下文 |
 | 商城/SVIP | `Store.tsx`、`SvipModal.tsx` | 部分覆盖 | 套餐、订单、订单详情/状态轮询、权益、激活码预检查/兑换、优惠券领取/下单抵扣、微信支付/支付宝 provider 主链路、内部退款状态机、微信/支付宝发起退款、退款查询确认、退款通知 webhook、支付/退款补偿 worker、全额退款权益撤销、资金对账手工/API 导入比对、微信/支付宝官方账单下载 worker、异常查询、差错工单和事件轨迹、异常订单运营台、人工调整凭证复核报表已有；Taro 学生收银台/订单详情和租户财务运营台第一版已接；仍缺更完整售后体验、真实生产账单抽样验收和生产账号联调 |
@@ -36,7 +36,7 @@
 | AI 择校推荐 | 业务规划新增 | 部分覆盖 | 已有 SVIP 门禁、学生输入 schema、地区/分数线上下文、稳定 JSON 输出、报告台账、审计和 Taro 学生端基础页；真实 AI provider、prompt 版本管理后台、报告 PDF 渲染和更细推荐算法待补 |
 | 题目反馈 | `02-API接口.md` 用户反馈 | 部分覆盖 | 学生提交、本人列表、租户后台处理、状态事件、反馈奖励积分、站内通知和租户反馈运营聚合报表已覆盖；Taro 个人中心消息中心可查看反馈处理/奖励通知，租户营销中心已接 30 天反馈运营摘要；仍缺外部订阅消息/短信提醒和内容修复闭环 |
 | 签到积分 | `Profile.tsx`、`02-API接口.md` | 部分覆盖 | 每日签到、连续签到基础、积分流水、重复签到幂等、签到/积分阈值自动发放勋章、积分活动任务、积分兑换商品、优惠券兑换履约、租户后台配置和积分风控只读报表已覆盖；学生激励默认以勋章自动发放为主，排行榜不默认开启；后续补更细活动效果看板和更多系统触发任务 |
-| 排行榜 | `leaderboard.pb.js`、`02-API接口.md` | 部分覆盖 | 已有刷题数、积分、背单词、模考最高分排行榜，支持租户/地区/班级范围和当前用户排名；租户默认关闭，学生端默认不请求；后续仅在明确开启活动并压测后补防刷、日/周榜预聚合、运营后台排名看板 |
+| 排行榜 | `leaderboard.pb.js`、`02-API接口.md` | 可选活动能力 | 已有刷题数、积分、背单词、模考最高分排行榜，支持租户/地区/班级范围和当前用户排名；租户默认关闭，学生端默认不请求、不展示；日常学习激励以后台勋章自动发放为主。后续仅在租户明确购买/开启活动并压测后补防刷、日/周榜预聚合、运营后台排名看板 |
 
 ## 租户后台功能
 
@@ -97,7 +97,7 @@
 这些是旧项目中已经出现过、但新后端还没有完整业务闭环的功能：
 
 1. 阅读理解/案例分析多小题：后端 `subAnswers` 判分、断点恢复、报告 `subResults`、Taro 作答 UI、RichContent 长题干/图片/H5 KaTeX 公式渲染、私有资源 ID 短签名题图和逐题复盘第一版已完成；仍需补小程序公式真机验收、题图资源字段化和更细复盘交互。
-2. 排行榜增强：刷题、模考、背单词、积分排行榜主接口已有，租户默认关闭；还需防刷、日/周榜预聚合、运营后台排名看板和开启前压测。
+2. 排行榜可选活动：刷题、模考、背单词、积分排行榜主接口已有，租户默认关闭，学生端默认不请求；当前不是主线待办。只有租户明确购买/开启活动并完成压测后，再补防刷、日/周榜预聚合和运营后台排名看板。
 3. 账号设置完整流：绑定/更换手机号基础 API、男女预设头像契约和 Taro 头像选择 UI 已完成；仍缺微信/QQ 账号合并、密码/邮箱能力。头像上传、头像裁剪和第三方头像同步不做。
 4. 题库导出：服务端 JSON/试卷 payload、PDF/Word 二进制生成、水印、资料发布路径、权限审计、答案脱敏、每日一练基础导出和图片 ZIP 素材包已补；仍缺更精细试卷模板和后台导出操作台体验。
 5. 导入扩展：题目/单词/知识手册/分数线/视频已支持 JSON、CSV 和 Excel 预览导入，并可用 `executionMode=async` 进入 imports worker；导入后复检、导入任务详情、模板下载按钮、字段映射 API、Taro 字段别名编辑、异步轮询和 PocketBase JSON dry-run 报告已补，仍缺真实数据执行验收。

docs/refactor/taro-frontend-integration.md

@@ -788,7 +788,7 @@ POST /api/tenant-admin/badge-grants
 | `classId` | UUID | 班级范围，可选，后端按当前租户校验 |
 | `limit` / `page` | 正整数 | 分页 |
 
-响应会包含 `items` 和 `currentUser`。即使当前用户未进入前 N 名，也应优先展示 `currentUser` 作为“我的排名”。排行榜用户头像只返回系统默认头像路径和 `avatarPreset`，前端不能尝试展示微信/QQ 头像或旧库头像 URL。后台后续会补日/周榜预聚合和防刷策略，前端只消费接口返回口径。
+响应会包含 `items` 和 `currentUser`。即使当前用户未进入前 N 名，也应优先展示 `currentUser` 作为“我的排名”。排行榜用户头像只返回系统默认头像路径和 `avatarPreset`，前端不能尝试展示微信/QQ 头像或旧库头像 URL。日/周榜预聚合、防刷策略和运营看板不是默认待办，只在租户显式购买/开启排行榜活动并完成压测后再进入开发，前端只消费后端接口返回口径。
 
 ### 租户数据看板
 

package.json

@@ -52,7 +52,7 @@
     "test:worker:public-banks": "npm run db:smoke-seed && npm run build:worker && node scripts/public-bank-worker-integration-test.js",
     "test:worker:student-supervision": "npm run db:smoke-seed && npm run build:worker && node scripts/student-supervision-worker-integration-test.js",
     "test:rls": "npm run db:smoke-seed && node scripts/rls-tenant-isolation-test.js",
-    "test:readiness": "node scripts/production-readiness-check-test.js && node scripts/production-config-failfast-test.js && node --import tsx scripts/taro-runtime-config-test.js && node --import tsx scripts/taro-api-auth-mode-test.js && node scripts/remote-auth-jwt-smoke-test.js && node scripts/production-launch-gate-test.js",
+    "test:readiness": "node scripts/production-readiness-check-test.js && node scripts/production-config-failfast-test.js && node --import tsx scripts/taro-runtime-config-test.js && node --import tsx scripts/taro-api-auth-mode-test.js && node scripts/taro-student-product-guardrails-test.js && node scripts/remote-auth-jwt-smoke-test.js && node scripts/production-launch-gate-test.js",
     "test:auth:remote-smoke": "node scripts/remote-auth-jwt-smoke-test.js",
     "test:launch-gate": "node scripts/production-launch-gate-test.js",
     "test:pb:dry-run": "node scripts/pb-dry-run-report-test.js",

scripts/taro-student-product-guardrails-test.js

@@ -0,0 +1,80 @@
+import assert from 'node:assert/strict';
+import fs from 'node:fs';
+import path from 'node:path';
+
+const repoRoot = process.cwd();
+const studentPagesDir = path.join(repoRoot, 'apps', 'taro', 'src', 'pages', 'student');
+const appConfigPath = path.join(repoRoot, 'apps', 'taro', 'src', 'app.config.ts');
+const studentProfileServicePath = path.join(repoRoot, 'apps', 'taro', 'src', 'services', 'profile.ts');
+
+function readText(filePath) {
+  return fs.readFileSync(filePath, 'utf8').replace(/\r\n/g, '\n');
+}
+
+function walkFiles(dir) {
+  const entries = fs.readdirSync(dir, { withFileTypes: true });
+  return entries.flatMap(entry => {
+    const entryPath = path.join(dir, entry.name);
+    if (entry.isDirectory()) return walkFiles(entryPath);
+    if (!/\.(ts|tsx|css|json)$/.test(entry.name)) return [];
+    return [entryPath];
+  });
+}
+
+function relative(filePath) {
+  return path.relative(repoRoot, filePath).replace(/\\/g, '/');
+}
+
+const appConfig = readText(appConfigPath);
+assert.ok(
+  !/pages\/student\/(?:leaderboard|rank|ranking)\b/i.test(appConfig),
+  'Student routes must not include a default leaderboard/ranking page. Leaderboard is optional and tenant-gated.',
+);
+
+const studentFiles = walkFiles(studentPagesDir);
+const leaderboardViolations = [];
+const avatarUploadViolations = [];
+const avatarUrlViolations = [];
+
+for (const filePath of studentFiles) {
+  const text = readText(filePath);
+  if (/\bloadLeaderboard\b|\/api\/learning\/leaderboard|learning\/leaderboard|leaderboard|排行榜/.test(text)) {
+    leaderboardViolations.push(relative(filePath));
+  }
+  if (/\bchooseImage\b|\buploadFile\b|sign-upload|avatar\s*upload|头像上传|上传头像|裁剪头像/.test(text)) {
+    avatarUploadViolations.push(relative(filePath));
+  }
+  if (/\bavatarUrl\b|\bavatar_url\b|\bheadimgurl\b|\bheadImgUrl\b|\bfigureurl\b/i.test(text)) {
+    avatarUrlViolations.push(relative(filePath));
+  }
+}
+
+assert.deepEqual(
+  [...new Set(leaderboardViolations)].sort(),
+  [],
+  'Student pages must not request or render leaderboard by default. Add a tenant-gated activity page only after explicit enablement and load testing.',
+);
+
+assert.deepEqual(
+  [...new Set(avatarUploadViolations)].sort(),
+  [],
+  'Student pages must not add avatar upload/crop/storage flows. Only avatarPreset=male/female is supported.',
+);
+
+assert.deepEqual(
+  [...new Set(avatarUrlViolations)].sort(),
+  [],
+  'Student pages must not read or write avatarUrl/headimgurl/figureurl fields. Use avatarPreset only.',
+);
+
+const profileService = readText(studentProfileServicePath);
+assert.ok(
+  /avatarPreset\?: 'male' \| 'female'/.test(profileService),
+  'Student profile service must expose avatarPreset=male/female.',
+);
+assert.ok(
+  !/\bavatarUrl\b|\bavatar_url\b|\bheadimgurl\b|\bheadImgUrl\b|\bfigureurl\b/i.test(profileService),
+  'Student profile service must not accept or expose avatar URL fields.',
+);
+
+console.log('[PASS] Taro student product guardrails');