docs: add ai development guardrails

docs/refactor/frontend-handoff-index.md

@@ -8,17 +8,19 @@
 
 1. `docs/refactor/project-structure.md`
    - 先确认新项目目录边界，避免把 `参考/旧题库项目` 当成新源码。
-2. `docs/refactor/backend-capability-status.md`
+2. `docs/refactor/ai-development-guardrails.md`
+   - 先看后续 AI/开发者必须遵守的 Supabase-first 架构、安全红线和功能落位判断树。
+3. `docs/refactor/backend-capability-status.md`
    - 看哪些后端能力已经能联调，哪些只是迁移期可用。
-3. `docs/refactor/legacy-feature-gap-matrix.md`
+4. `docs/refactor/legacy-feature-gap-matrix.md`
    - 对照旧题库功能，确认哪些页面能按新 API 重做，哪些后端还要补。
-4. `docs/refactor/supabase-frontend-access-strategy.md`
+5. `docs/refactor/supabase-frontend-access-strategy.md`
    - 明确 Taro 什么时候可以用 Supabase client，什么时候必须走 `apps/api`。
-5. `docs/refactor/taro-frontend-integration.md`
+6. `docs/refactor/taro-frontend-integration.md`
    - Taro 启动、租户解析、请求封装、页面/API 映射、跨端注意事项。
-6. `docs/refactor/multitenant-auth-security-contract.md`
+7. `docs/refactor/multitenant-auth-security-contract.md`
    - 多租户、鉴权、权限、资源签名和生产安全红线。
-7. `docs/refactor/content-import-contract.md`
+8. `docs/refactor/content-import-contract.md`
    - 后台内容导入、题目 JSON、单词、知识手册的后端校验契约。
 
 ## 当前可进入的前端工作
@@ -37,7 +39,7 @@
 ## 不能误认为已商用完成的部分
 
 - 生产鉴权尚未完成：当前很多接口仍用 `x-tenant-id`、`x-user-id`、`x-platform-admin-key` 作为迁移期上下文。
-- 不要把“Supabase 支持前端 Data API”误解为“本项目所有业务表都由 Taro 直写”；订单、支付、权益、租户后台、导入、CRM、私有资源必须走后端。
+- 不要把“Supabase 支持前端 Data API”误解为“本项目所有业务表都由 Taro 直写”；订单、支付、权益、租户后台、导入、CRM、私有资源必须走 RPC、`apps/api`、Edge Function 或 worker 这类后端命令层。
 - 真实短信、微信登录、QQ 登录、微信支付、支付宝支付 provider 还未正式接完。
 - 对象存储已完成签名 provider，但 PDF 预览、防盗链、视频水印、上传后校验还要补。
 - 大批量 Excel/CSV、分数线、视频导入和异步 worker 还未完成。