Corrige une faille d'isolation entre comptes et retire l'email des chemins de projet

Le rôle "admin" contournait entièrement l'isolation par projet
(core/auth_guard.py) : il pouvait ouvrir/modifier/supprimer le jeu de
n'importe quel autre compte en connaissant son slug, et la page d'accueil
listait sans filtrage tous les projets de tous les comptes.

- La propriété d'un projet se vérifie désormais sur le segment
  "propriétaire" du slug (id du compte), pour tous les rôles y compris
  admin — un slug "à plat" (sans compte associé) reste réservé à
  l'admin, comportement historique conservé pour ce cas précis.
- routes/games/index.py ne liste plus que les projets du compte connecté.
- Le dossier propriétaire d'un projet est maintenant l'id numérique du
  compte, plus jamais son email slugifié (visible en clair dans chaque
  URL auparavant) — script de migration fourni et déjà exécuté sur les
  données existantes.
- Changer d'email ne renomme plus aucun dossier (n'en dépend plus).
- Deux nouveaux tests de régression, fixtures corrigées en conséquence.
- README réécrit pour refléter l'état actuel du produit (jeu 2D
  uniquement, plus de traces de l'ancien éditeur "document").

tests/test_auth.py

@@ -1,6 +1,7 @@
 """Comptes utilisateurs (auth/) : inscription (nom/prénom/email unique,
 mot de passe fort, 2FA TOTP obligatoire), connexion, et isolation par
-utilisateur d'un SEUL projet (sauf le rôle "admin", illimité — voir
+PROPRIÉTAIRE de projet — pour TOUS les rôles, y compris "admin" (qui
+garde seulement le droit d'avoir plusieurs projets À LUI, voir
 core/auth_guard.py). Le tout premier compte jamais créé devient
 automatiquement admin (auth/create_user.py) : la fixture `client` de
 conftest.py en a déjà créé un pour authentifier tous les AUTRES tests du
@@ -200,6 +201,55 @@ def test_non_admin_user_is_isolated_to_their_own_project(anon_client):
         _cleanup_project("second")
 
 
+def _create_isolated_user_with_project(email, name="Jeu de la victime"):
+    """Compte + projet créés directement (sans passer par le client HTTP
+    de test) — combiner ici deux instances de `test_client()` actives en
+    parallèle (la fixture `client`, admin partagé, ET une seconde pour
+    créer la victime) fait planter Werkzeug ("Popped wrong app context"),
+    une limite connue du client de test Flask quand deux contextes de
+    requête s'entremêlent plutôt que de s'imbriquer proprement."""
+    user_id = auth.create_user(email, "Sup3r$ecret!", "Test", "Victime")
+    auth.confirm_totp(user_id)
+    slug = db.create_game(name, owner_folder=str(user_id))
+    auth.set_project_slug(user_id, slug)
+    return auth.get_user_by_id(user_id)
+
+
+def test_admin_cannot_access_another_users_project(client):
+    """Faille corrigée : le rôle "admin" contournait entièrement
+    l'isolation par projet (voir core/auth_guard.py) — un admin pouvait
+    ouvrir/modifier/supprimer le jeu de N'IMPORTE QUEL autre compte en
+    connaissant simplement son slug. `client` (conftest.py) est déjà
+    connecté en admin ; désormais bloqué exactement comme un "user"."""
+    victim = _create_isolated_user_with_project("adminvictim@example.com")
+    try:
+        assert client.get(f"/game/{victim['project_slug']}").status_code == 403
+        assert client.get(f"/game/{victim['project_slug']}/screens/1/edit").status_code == 403
+        assert client.post(f"/game/{victim['project_slug']}/delete").status_code == 403
+        # Le projet de la victime doit être resté intact (la tentative de
+        # suppression ci-dessus doit avoir été bloquée AVANT toute écriture).
+        assert db.game_meta(victim["project_slug"]) is not None
+    finally:
+        _cleanup_project("adminvictim@example.com")
+
+
+def test_admin_home_page_only_lists_their_own_projects(client, game):
+    """routes/games/index.py (page "Mes jeux") scannait auparavant TOUT
+    projects/ sans filtrage (db.list_games()) — n'importe quel admin
+    voyait donc le slug (et le nom de dossier propriétaire) de chaque
+    compte. Corrigé : ne renvoie plus que les projets du compte connecté,
+    admin compris."""
+    victim = _create_isolated_user_with_project("adminlistvictim@example.com")
+    try:
+        resp = client.get("/")
+        assert resp.status_code == 200
+        html = resp.get_data(as_text=True)
+        assert game in html
+        assert victim["project_slug"] not in html
+    finally:
+        _cleanup_project("adminlistvictim@example.com")
+
+
 def test_non_admin_user_cannot_delete_their_only_project(anon_client):
     """Sans issue de secours (games_new renvoie toujours vers son
     project_slug, existant ou non), le supprimer serait un piège sans