feat: add role-aware teacher and student multi-agent scenarios

[lyyzka]

概要

在现有 LingxiGraph 安全模板与不可变 revision 机制上，增加面向教师端和学生端的角色隔离与开箱即用教育场景，不引入新的自由图运行时或 LMS 业务模型。

主要变更

• 扩展平台角色为 admin、teacher、student、user。
• 在编排 draft/revision 配置中加入 scenario_key 与 audience_roles，保持受众范围与不可变发布版本一致。
• 新增集中式访问策略，兼容缺少受众元数据的旧 revision，并对未知角色或格式错误配置默认拒绝。
• Chainlit Chat Profile 按当前角色过滤；on_chat_start 再次执行服务端授权，阻止伪造 Profile slug 越权。
• 新增学生 student_learning_companion Supervisor 预设：学习协调者调度概念导师、苏格拉底教练、练习生成器和反思总结助手。
• 新增教师 teacher_lesson_review Parallel Review 预设：教学方案生成、教学法/难度/评价设计并行审核与综合定稿。
• 平台在运行时注入场景角色说明和 Supervisor 控制协议，减少对管理员手工配置 Coze Prompt 的依赖。
• 新增教育场景元数据与创建 API，并在原生管理端提供场景选择、角色到 Coze Chat Agent 映射、自动布局、必需连线和受众编辑。
• 更新 LingxiGraph 子模块至 2.0.1，以满足现有 Coze 文件/图片对象与上传契约。
• 补充架构基线、教育场景文档、README 演示流程和权限说明。

用户与开发者影响

• 学生账号只看到学生场景和公共编排；教师账号只看到教师场景和公共编排；管理员可访问全部编排。
• 受众草稿修改只有发布新 revision 后才影响新会话，已有 thread 继续固定到原 revision。
• 管理员可以从教育场景一键生成通过现有安全拓扑约束的草稿，但预设不能绕过标准校验。
• 两个首版教育场景全部要求使用 Coze Chat Agent；Workflow 仍遵守原有模板角色限制。

验证

• uv run ruff check app scripts tests
• uv run ruff format --check app scripts tests
• uv run python -m mypy app
• uv run python -m pytest -q（37 passed）
• 所有管理端 JavaScript 文件通过 node --check
• 使用本地管理 API 桩完成浏览器交互验证：教育场景选择、5 个角色映射、教师/学生账号选项和控制台错误检查
• docker build -t lingxinext:education .

首版边界

本 PR 不增加课程、班级、作业、提交、测验、学习记录或教师人工审批模型；这些能力应在后续 PR 中基于本次建立的角色 → 场景 → revision → checkpoint 链路继续扩展。