fix(aihr): protect prompt template reads

backend/ruoyi-modules/ruoyi-aihr/src/main/java/org/dromara/aihr/controller/AihrPromptTemplateController.java

@@ -31,6 +31,7 @@ public class AihrPromptTemplateController {
 
     private final AihrPracticeSeedService practiceSeedService;
 
+    @SaCheckRole(value = {TenantConstants.SUPER_ADMIN_ROLE_KEY, HR_OPERATOR_ROLE}, mode = SaMode.OR)
     @GetMapping
     public R<List<PromptTemplateResponse>> list(@RequestParam(required = false) String category,
                                                 @RequestParam(required = false) String code,

docs/BRD_IMPLEMENTATION_AUDIT.md

@@ -76,5 +76,5 @@
 - 生产浏览器回归：管理员可登录首页和 `/system/model`；页面可见“提示词模板”列表、新增模板入口和启停控件，说明本轮管理端 UI 已加载。当前验证使用生产 admin 测试账号和 Redis 验证码，不在文档记录账号或个人数据。
 - 2026-07-14 04:05 后续发布：移动端满意度采集、CSV 指标和后端接口已同步到生产；备份为 `/opt/wygj/backups/release-20260714040515`，H5 主 JS `index-5mNjsnek.js` 本地与线上 SHA-256 均为 `5c5af11be7b2b3ef7ceafd5b820fdd3e1326fcfc612b89c69b00dfe06635573c`，后端 jar SHA-256 为 `aa0bd917a2ab94ffd740ac709af2c59dd5bed6c8db995fa9aa1e80bcc4662c07`；生产浏览器实际完成训练、提交 1–5 分满意度并收到成功提示，随后已清理临时训练和派发数据。
 - 2026-07-14 04:18 后续发布：SOP 反馈追溯已同步到生产；备份为 `/opt/wygj/backups/release-20260714041836`，H5 主 JS `index-Dh7w59t7.js` 本地与线上 SHA-256 均为 `0fce49deff7f95b3816cd97cf7b5f1733f31b2815162d141c27be9d1257a1f58`，后端 jar SHA-256 为 `18f4643f401aafeab3ee896d7d6341733f31b2815162d141c27be9d1257a1f58`；生产 API smoke 已验证搜索 `reviewId`、反馈写入 `review_id`，并清理 smoke 记录。
-- 2026-07-14 后续审查：移动端 `/me` 在同一手机号对应多条 active 组织记录时优先识别“主管/项目经理”，避免按首条一线记录误判员工端；正式试点满意度统计改为复用安全 `org_identity`，冲突或无法唯一映射的组织身份不计入满意度分母；模型配置、知识库管理/评审和后台案例标注写接口均已补 HR/管理员角色门禁；脚本行为测试已覆盖该边界，但这仍属于数据口径与权限加固，不替代正式组织同步和试点证据。
+- 2026-07-14 后续审查：移动端 `/me` 在同一手机号对应多条 active 组织记录时优先识别“主管/项目经理”，避免按首条一线记录误判员工端；正式试点满意度统计改为复用安全 `org_identity`，冲突或无法唯一映射的组织身份不计入满意度分母；模型配置、提示词模板列表/写入、知识库管理/评审和后台案例标注写接口均已补 HR/管理员角色门禁；脚本行为测试已覆盖该边界，但这仍属于数据口径与权限加固，不替代正式组织同步和试点证据。
 - 本次线上核对发现 schema 漂移：生产库已存在 `aihr_practice_session.satisfaction_score`、`satisfaction_comment`，但尚未显式创建 `aihr_practice_audio`。当前代码仍有运行时懒建表兜底，满意度链路不受影响；正式音频留痕试点前必须执行并核验显式迁移，不能依赖首次请求触发；严格预检已增加该表存在性检查。

scripts/demo-check.sh

@@ -366,6 +366,7 @@ contains frontend/src/api/aihr/practice.ts "/api/aihr/prompt-templates"
 contains backend/ruoyi-modules/ruoyi-aihr/src/main/java/org/dromara/aihr/controller/AihrPracticeController.java "/api/train/practice"
 contains backend/ruoyi-modules/ruoyi-aihr/src/main/java/org/dromara/aihr/controller/AihrPracticeController.java "sessions/{sessionId}/annotations"
 contains backend/ruoyi-modules/ruoyi-aihr/src/main/java/org/dromara/aihr/controller/AihrPromptTemplateController.java "/api/aihr/prompt-templates"
+contains backend/ruoyi-modules/ruoyi-aihr/src/main/java/org/dromara/aihr/controller/AihrPromptTemplateController.java "public R<List<PromptTemplateResponse>> list"
 contains backend/ruoyi-modules/ruoyi-aihr/src/main/java/org/dromara/aihr/service/AihrPracticeSeedService.java "mobileCompletedCount"
 contains backend/ruoyi-modules/ruoyi-aihr/src/main/java/org/dromara/aihr/domain/AihrPracticeDto.java "MistakeAggregateResponse"
 contains mobile-uni/src/pages/supervisor/team/index.vue "团队错题本"