feat: use preset avatars and disable leaderboard by default

docs/refactor/api-structure.md

@@ -17,7 +17,7 @@ apps/api/src/
     health/                 健康检查
     tenant/                 租户解析、品牌配置、域名识别
     catalog/                公开题库、内容入口、分类树、题目集合、练习蓝图、手册、商城、资料资源只读接口
-    learning/               组卷 session、答题、错题、收藏、练习进度、排行榜
+    learning/               组卷 session、答题、错题、收藏、练习进度、排行榜（租户默认关闭）
     commerce/               订单、支付确认、退款、激活码、优惠券、权益
     referral/               销售/代理客资追踪、首绑保护、团队关系、CRM 队列
     storage/                对象存储签名 provider
@@ -34,7 +34,7 @@ apps/api/src/
 ```text
 features/
   auth/                     登录、绑定手机、OAuth 回调、会话换取
-  learning/                 顺序/随机/模考组卷、答题记录、错题、收藏、学习进度、排行榜
+  learning/                 顺序/随机/模考组卷、答题记录、错题、收藏、学习进度、排行榜（租户默认关闭）
   commerce/                 商品、订单、优惠券、支付、退款、权益开通
   referral/                 销售/代理增长链路、客资归属、分佣依据、CRM 入队
   platform-admin/           平台租户管理、年费、服务费、批量开票、账务审计
@@ -73,6 +73,6 @@ types.ts                   仅本领域使用的类型
 - 题库前端入口不再只依赖旧 `module_nodes/subjects/categories`；新业务主模型是 `content_entries/content_nodes/question_collections/practice_blueprints`，用于表达可视化入口、多级分类、考试意向标记、题目列表和顺序/随机/全真模拟规则。
 - 平台公共题库不能被租户前端直接跨租户读取；平台侧通过 `/api/platform-admin/question-bank-grants` 授权，租户侧通过 `/api/tenant-content/public-question-banks/adopt` 采纳为本租户题库、入口、集合和题目快照。后续版本同步必须走 worker 和审计。
 - `learning` 创建练习 session 时必须保存 `question_ids` 快照，避免随机刷题和模考过程中题目集合变化导致答题记录无法复盘。
-- 排行榜必须由后端按租户、地区、班级和可信用户上下文聚合，前端不能自行扫描答题记录、积分流水或单词进度后排名；后续高流量场景再通过 worker/materialized view 做日榜、周榜和防刷。
+- 排行榜必须由后端按租户、地区、班级和可信用户上下文聚合，并受 `tenant_settings.feature_flags.enableLeaderboard` 控制，默认关闭；前端不能自行扫描答题记录、积分流水或单词进度后排名，也不能在个人中心默认请求排行榜；后续高流量场景再通过 worker/materialized view 做日榜、周榜和防刷。
 - 资料、PDF、视频等对象存储资源必须先进入 `content_assets` 台账，再通过 API/Edge Function 做权限校验和签名 URL 下发；前端不能直接拼 OSS/COS/Supabase Storage 私有地址。
 - 批量导入必须先写 `content_import_jobs/items/issues`，保留原始 payload、规范化 payload、逐行问题和审计记录；题目、单词、知识手册、分数线和视频 JSON/CSV/Excel 都应进入同一管线，复杂大批量导入通过 `executionMode=async` 交给 imports worker 消费。