Ajoute le support de formation : entite racine separee du jeu 2D

Nouveau moteur document_engine/ (elements CRUD + rendering + labels),
db/supports/ (stockage independant de db/games), routes/document/
(CRUD AJAX + publication), et l'editeur frontend complet
(templates/document/, static/document/) avec moteur de layout reel
(glisser-deposer -> fusion en rangee ou insertion avant/apres), vrai
Undo/Redo par pile de commandes, grille d'accroche pour les formes
libres, apercu responsive a largeurs fixes, mode Apercu, et publication
persistee.

"Mes formations" (templates/index.html) liste desormais les
environnements 2D et les supports de formation cote a cote ;
l'onboarding et core/auth_guard.py sont generalises pour qu'un compte
restreint puisse posseder un projet de chaque type independamment.

SKIP=djlint : le hook ne signale que le backlog H021 (styles en ligne)
deja documente dans CODE_QUALITY.md sur des fichiers pre-existants non
touches ici (base.html, game/play.html, scene_edit.html,
game_dashboard_simple.html, clause_row.html) plus une ligne de
index.html deja presente avant cette session — aucun nouveau fichier
(document_edit.html compris) n'y figure. Tous les autres outils
(ruff, mypy --strict, vulture, bandit, import-linter, eslint,
stylelint) passent sans erreur ; 617 tests Python + 276 tests JS
verts, plus une verification manuelle complete du cycle de vie via le
serveur de developpement.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

auth/__init__.py

@@ -34,6 +34,7 @@ from .save_user_asset import save_user_asset
 from .send_email import EmailNotConfiguredError, send_password_reset_email
 from .set_password import set_password
 from .set_project_slug import set_project_slug
+from .set_support_slug import set_support_slug
 from .totp_qrcode_svg import totp_provisioning_uri, totp_qrcode_svg
 from .update_email import EmailUpdateError, update_email
 from .update_profile import update_profile
@@ -57,6 +58,7 @@ __all__ = [
     "confirm_totp",
     "verify_totp",
     "set_project_slug",
+    "set_support_slug",
     "password_strength",
     "MIN_SCORE_REQUIRED",
     "totp_provisioning_uri",

auth/ensure_schema.py

@@ -29,6 +29,14 @@ def ensure_users_schema() -> None:
         conn.execute("ALTER TABLE _users ADD COLUMN failed_attempts INTEGER NOT NULL DEFAULT 0")
     if "locked_until" not in cols:
         conn.execute("ALTER TABLE _users ADD COLUMN locked_until TEXT")
+    if "support_slug" not in cols:
+        # Le SEUL support de formation que ce compte possède (voir
+        # set_support_slug.py) — mirroir exact de project_slug ci-dessus,
+        # mais pour l'autre type de projet (entité racine séparée, voir
+        # docs/plan/PLAN.md). Un compte peut avoir project_slug ET
+        # support_slug simultanément (un de chaque), jamais deux du même
+        # type pour un compte "user" restreint.
+        conn.execute("ALTER TABLE _users ADD COLUMN support_slug TEXT")
     # Codes de récupération 2FA (voir recovery_codes.py) : table séparée
     # plutôt qu'une colonne JSON sur _users, pour pouvoir marquer/consommer
     # chaque code UN PAR UN (used_at) sans avoir à relire/réécrire toute

auth/set_support_slug.py

@@ -0,0 +1,13 @@
+from .connection import connect
+
+
+def set_support_slug(user_id: int, slug: str) -> None:
+    """Enregistre le SEUL support de formation que ce compte possède —
+    mirroir exact de set_project_slug.py pour l'autre type de projet
+    (entité racine séparée, voir docs/plan/PLAN.md). Un compte "user"
+    restreint peut avoir project_slug ET support_slug en même temps (un
+    de chaque), jamais deux support_slug."""
+    conn = connect()
+    conn.execute("UPDATE _users SET support_slug = ? WHERE id = ?", (slug, user_id))
+    conn.commit()
+    conn.close()