docs: 更新TRA编程培训课程材料、课件与AI技能交付包

- 新增全套考试卷、评估卷、参考答案与考试培训包模板
- 修正slidev培训课件：调整模块标题、链路图缩放，替换工单示例为通用业务对象
- 修正课堂红线表述为证据红线，将小组作业调整为个人作业要求
- 新增权限、状态流转、审计日志、看板指标四类可复用业务规则块
- 整理AI工程技能交付包，迁移旧资产至客户专属交付包并统一术语
- 新增考试输出模板与TRAE使用记录文档

slidev/pages/day4/m1-rbac-permission-model.md

@@ -57,7 +57,7 @@ AI 辅助开发最常见的问题，是先让它把 CRUD 做出来，再问“
 
 # RBAC 权限矩阵
 
-<div class="mt-5 text-xs">
+<div class="mt-3 text-[11px] leading-tight">
 
 | 功能 | 管理员 | 负责人 | 研发 | 测试 | 只读 |
 |---|---|---|---|---|---|
@@ -159,3 +159,35 @@ AI 很容易把权限理解成“有没有按钮”，但企业系统真正的
 课堂里可以让学员拿这张表去追问 TRAE：这个权限风险在哪个文件、哪个接口、哪个测试账号可以验证。
 这样权限矩阵就不是一张漂亮表，而是 Review 和验收的入口。
 -->
+
+---
+
+# 可直接复制到 rules：权限安全
+
+<div class="mt-5 text-xs">
+
+```md
+## 敏感操作必须四层校验
+- 级别：硬约束
+- 适用场景：新增、编辑、删除、指派、状态流转、查看审计、查看看板。
+- 必须：同时覆盖页面/菜单权限、按钮权限、后端接口权限、数据范围权限。
+- 禁止：只做页面或按钮控制。
+- 验收方式：授权角色能完成；未授权角色前端不可见且直接请求接口失败；越权数据访问失败。
+
+## 权限字符必须有来源或标记为建议
+- 必须：来自现有菜单、权限配置、前端权限指令、后端鉴权注解或团队规范。
+- 禁止：凭空编造权限字符并当成事实。
+- 验收方式：权限字符在前端、菜单配置、后端接口之间一致。
+
+## 数据权限不得被查询条件替代
+- 必须：后端统一校验当前用户可访问的数据范围。
+- 禁止：只依赖前端传入 userId、deptId、tenantId 或筛选条件。
+```
+
+</div>
+
+<!--
+这页把交付包里的 security-permission 规则压缩成课堂可直接使用的版本。
+重点不是让学员背规则，而是让他们知道第四天的权限实操必须写进 rules，并且每条 rules 都要有适用场景、必须、禁止和验收方式。
+后续权限矩阵、权限控制方案和阶段 Review 都要回到这几条规则。
+-->