Corrige une faille d'isolation entre comptes et retire l'email des chemins de projet

Le rôle "admin" contournait entièrement l'isolation par projet
(core/auth_guard.py) : il pouvait ouvrir/modifier/supprimer le jeu de
n'importe quel autre compte en connaissant son slug, et la page d'accueil
listait sans filtrage tous les projets de tous les comptes.

- La propriété d'un projet se vérifie désormais sur le segment
  "propriétaire" du slug (id du compte), pour tous les rôles y compris
  admin — un slug "à plat" (sans compte associé) reste réservé à
  l'admin, comportement historique conservé pour ce cas précis.
- routes/games/index.py ne liste plus que les projets du compte connecté.
- Le dossier propriétaire d'un projet est maintenant l'id numérique du
  compte, plus jamais son email slugifié (visible en clair dans chaque
  URL auparavant) — script de migration fourni et déjà exécuté sur les
  données existantes.
- Changer d'email ne renomme plus aucun dossier (n'en dépend plus).
- Deux nouveaux tests de régression, fixtures corrigées en conséquence.
- README réécrit pour refléter l'état actuel du produit (jeu 2D
  uniquement, plus de traces de l'ancien éditeur "document").

routes/games/index.py

@@ -1,4 +1,4 @@
-from flask import render_template
+from flask import g, render_template
 
 import db
 
@@ -7,4 +7,7 @@ from core.flask_app import app
 
 @app.route("/")
 def index():
-    return render_template("index.html", games=db.list_games())
+    # Toujours SES PROPRES projets (voir db.list_games, corrigé pour ne
+    # plus jamais scanner les autres comptes) — même pour un admin, qui
+    # n'a donc plus aucune visibilité sur les projets des autres comptes.
+    return render_template("index.html", games=db.list_games(str(g.current_user["id"])))