Ajoute le support de formation : entite racine separee du jeu 2D

Nouveau moteur document_engine/ (elements CRUD + rendering + labels),
db/supports/ (stockage independant de db/games), routes/document/
(CRUD AJAX + publication), et l'editeur frontend complet
(templates/document/, static/document/) avec moteur de layout reel
(glisser-deposer -> fusion en rangee ou insertion avant/apres), vrai
Undo/Redo par pile de commandes, grille d'accroche pour les formes
libres, apercu responsive a largeurs fixes, mode Apercu, et publication
persistee.

"Mes formations" (templates/index.html) liste desormais les
environnements 2D et les supports de formation cote a cote ;
l'onboarding et core/auth_guard.py sont generalises pour qu'un compte
restreint puisse posseder un projet de chaque type independamment.

SKIP=djlint : le hook ne signale que le backlog H021 (styles en ligne)
deja documente dans CODE_QUALITY.md sur des fichiers pre-existants non
touches ici (base.html, game/play.html, scene_edit.html,
game_dashboard_simple.html, clause_row.html) plus une ligne de
index.html deja presente avant cette session — aucun nouveau fichier
(document_edit.html compris) n'y figure. Tous les autres outils
(ruff, mypy --strict, vulture, bandit, import-linter, eslint,
stylelint) passent sans erreur ; 617 tests Python + 276 tests JS
verts, plus une verification manuelle complete du cycle de vie via le
serveur de developpement.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

auth/ensure_schema.py

@@ -29,6 +29,14 @@ def ensure_users_schema() -> None:
         conn.execute("ALTER TABLE _users ADD COLUMN failed_attempts INTEGER NOT NULL DEFAULT 0")
     if "locked_until" not in cols:
         conn.execute("ALTER TABLE _users ADD COLUMN locked_until TEXT")
+    if "support_slug" not in cols:
+        # Le SEUL support de formation que ce compte possède (voir
+        # set_support_slug.py) — mirroir exact de project_slug ci-dessus,
+        # mais pour l'autre type de projet (entité racine séparée, voir
+        # docs/plan/PLAN.md). Un compte peut avoir project_slug ET
+        # support_slug simultanément (un de chaque), jamais deux du même
+        # type pour un compte "user" restreint.
+        conn.execute("ALTER TABLE _users ADD COLUMN support_slug TEXT")
     # Codes de récupération 2FA (voir recovery_codes.py) : table séparée
     # plutôt qu'une colonne JSON sur _users, pour pouvoir marquer/consommer
     # chaque code UN PAR UN (used_at) sans avoir à relire/réécrire toute