实现网站游戏评分与评价 (#561)

公开游戏详情页新增评分与评价：登录用户可提交并修改自己对每款游戏的唯一一条 1–10 分评价，评论可空且最多 4000 个 Unicode 码点；游客可分页浏览评价并查看平均分与评分人数。

- 新增私有评价表及共享 DTO/API，事务内校验游戏公开可见性、保证唯一性，并计算分页与全量评分统计；下架或封禁后关闭读写，重新公开及更新版本保留评价。
- 详情页支持编辑预填、取消、提交期间冻结输入、失败保留草稿，以及保存、翻页和账号/游戏切换时的旧响应隔离；复用现有认证与公共组件。
- 同步主规范、里程碑、实施计划、生成绑定、表目录和验收脚本。不扩展 AGC、外部 API、评论审核或评分缓存。

验证：
- 本轮审查复跑前端定向测试 40 项、评价领域测试 2 项，均通过。
- 网站 typecheck、Rust/TypeScript DTO 对齐、SpacetimeDB schema、文档索引、编码与 diff 检查通过。
- 实施文档另记录本地隔离数据库/API 49 项及桌面/移动视口浏览器 smoke 通过；本轮审查未重跑这些运行时验收，也未运行完整测试套件。

发布说明：新增 SpacetimeDB 表，部署时需同步 module 与 API。尚未部署 dev/production，待用户验收。

Reviewed-on: https://git.genarrative.world/git/GenarrativeAI/Genarrative/pulls/561
Co-authored-by: Linghong <ink29535@proton.me>
Co-committed-by: Linghong <ink29535@proton.me>

server-rs/crates/api-server/src/admin.rs

@@ -2215,6 +2215,12 @@ fn admin_permission_requirement(_method: &Method, path: &str) -> AdminPermission
         "/admin/api/editor-assets" => AnyTab(&["editor-assets"]),
         "/admin/api/assets/read-url" => AnyTab(&["editor-assets", "editor-showcase"]),
         path if path.starts_with("/admin/api/editor-showcase/") => AnyTab(&["editor-showcase"]),
+        "/admin/api/game-distribution/user-review-games" => AnyTab(&["game-reviews"]),
+        path if path == "/admin/api/game-distribution/user-reviews"
+            || path.starts_with("/admin/api/game-distribution/user-reviews/") =>
+        {
+            AnyTab(&["game-reviews"])
+        }
         path if path.starts_with("/admin/api/game-distribution/reviews") => {
             AnyTab(&["editor-showcase"])
         }
@@ -7502,6 +7508,67 @@ mod tests {
         );
     }
 
+    #[test]
+    fn game_reviews_tab_authorizes_all_user_review_routes_only() {
+        for (method, path) in [
+            (
+                Method::GET,
+                "/admin/api/game-distribution/user-review-games",
+            ),
+            (Method::GET, "/admin/api/game-distribution/user-reviews"),
+            (
+                Method::GET,
+                "/admin/api/game-distribution/user-reviews/review_1",
+            ),
+            (
+                Method::POST,
+                "/admin/api/game-distribution/user-reviews/review_1/moderation",
+            ),
+        ] {
+            assert!(enforce_admin_request_permission("owner", &[], &[], &method, path).is_ok());
+            assert!(
+                enforce_admin_request_permission(
+                    "member",
+                    &["game-reviews".into()],
+                    &[],
+                    &method,
+                    path
+                )
+                .is_ok()
+            );
+            for permissions in [
+                vec![],
+                vec!["game-management".into()],
+                vec!["editor-showcase".into()],
+            ] {
+                assert_eq!(
+                    enforce_admin_request_permission("member", &permissions, &[], &method, path)
+                        .unwrap_err()
+                        .status_code(),
+                    StatusCode::FORBIDDEN
+                );
+            }
+        }
+        for path in [
+            "/admin/api/game-distribution/reviews",
+            "/admin/api/game-distribution/games",
+            "/admin/api/game-distribution/versions/version_1/review",
+        ] {
+            assert_eq!(
+                enforce_admin_request_permission(
+                    "member",
+                    &["game-reviews".into()],
+                    &[],
+                    &Method::GET,
+                    path
+                )
+                .unwrap_err()
+                .status_code(),
+                StatusCode::FORBIDDEN
+            );
+        }
+    }
+
     #[test]
     fn wallet_consumption_reconcile_requires_its_standalone_action_permission() {
         assert!(