feat: enforce student avatar presets

2026-06-30 15:56:01 +08:00
parent ddad2ac04d
commit d94b20b8ed
13 changed files with 110 additions and 28 deletions
--- a/docs/refactor/ai-development-guardrails.md
+++ b/docs/refactor/ai-development-guardrails.md
@@ -51,6 +51,7 @@
 - 严禁绕过 `content_assets` 台账直接拼接私有 OSS/COS/Supabase Storage URL。
 - 严禁在日志、导入 issue、审计日志中写入明文验证码、商户密钥、OAuth secret、支付私钥。
 - 严禁把旧 PocketBase 字段结构作为新系统长期事实来源。
+- 严禁为学生头像新增上传链路、对象存储签名、第三方头像落库或后台批量导入字段；学生头像只允许 `avatarPreset=male/female` 默认资源，租户后台学生接口也不能写头像 URL 或平台主角色字段。

 ## Supabase 直连表的准入条件