docs: 更新TRA编程培训课程材料、课件与AI技能交付包

- 新增全套考试卷、评估卷、参考答案与考试培训包模板
- 修正slidev培训课件：调整模块标题、链路图缩放，替换工单示例为通用业务对象
- 修正课堂红线表述为证据红线，将小组作业调整为个人作业要求
- 新增权限、状态流转、审计日志、看板指标四类可复用业务规则块
- 整理AI工程技能交付包，迁移旧资产至客户专属交付包并统一术语
- 新增考试输出模板与TRAE使用记录文档

slidev/pages/day4/m2-permission-control.md

@@ -102,3 +102,28 @@ work:order:dashboard
 课堂实操时，不要求只看代码。
 要用不同账号或模拟请求验证：前端不可见只是第一步，后端拒绝才是强制边界。
 -->
+
+---
+
+# rules 要落到这些位置
+
+<div class="mt-5 text-sm">
+
+| rule 条款 | 代码落点 | 验证项 |
+|---|---|---|
+| 四层校验 | 菜单配置、按钮权限、Controller、Service 查询 | 无权限账号不可见且接口失败 |
+| 权限字符有来源 | 菜单表、路由、按钮指令、后端注解 | 同一字符贯穿前后端 |
+| 数据权限后端校验 | 列表、详情、导出、看板查询 | 改请求参数不能越权 |
+| 敏感字段最小返回 | 列表接口、详情接口、审计展示 | 不暴露不必要 old/new value |
+
+</div>
+
+<div class="mt-4 p-3 rounded-xl bg-emerald-500/10 border border-emerald-500/30 text-sm">
+让 TRAE 改权限前，先把相关 rule 和权限控制方案一起给它。
+</div>
+
+<!--
+这页解决一个常见问题：rules 写了，但代码生成时没有真正用上。
+课堂实操时，可以要求学员在提示词里同时附上当前项目 rules、权限矩阵和权限控制方案。
+这样 TRAE 在修改前端按钮、后端接口、查询条件和审计展示时，有明确约束。
+-->