feat: share lesson feedback with owner-only access

docs/lesson-apparatus-feedback.md

@@ -22,3 +22,17 @@
 5. 默认私密记录仅馆主可见，开启共享后学员端按器械分段展示；未填写的器械不显示，历史整体评价仍显示。
 
 本地已验证共享包构建、前端类型检查、小程序构建、后端构建，以及完整 Jest 测试。本地浏览器组件预览用于验证展开、切换、填写计数、仅器械保存及分段展示；不替代微信真机验收。
+
+## 单条评价分享
+
+保存后自动进入评价详情页；档案内每条评价底部的「查看与分享」也可进入。教练页底固定「分享给学员」主按钮，避免长评价滚动后找不到操作。私密记录首次点击会确认开启该学员查看，再次点击调起微信转发；可随时关闭学员查看。
+
+- 分享仅携带评价 ID，跳转 `/pages/profile/lesson-feedback?id=...`，不带管理员预览参数 `userId`。
+- 分享标题与封面固定，不包含学员姓名、评价正文或页面截图。
+- 学员详情接口 `GET /user/progress/notes/:id` 强制登录，并在同一次数据库查询中限定 JWT 学员 ID、评价 ID 与 `shared=true`。管理员打开学生分享链接同样没有跨学员读取权限。
+- 教练预览和共享设置分别使用现有 ADMIN 权限控制下的 `GET /admin/members/:userId/progress/notes/:id` 与 `PUT .../notes/:id/sharing`；二者均限定目标学员与评价归属。共享修改仅接受布尔 `shared`。
+- 详情响应设置 `Cache-Control: private, no-store`，仅返回展示所需内容。无权限、已删除、未共享统一返回 404，不泄露评价是否存在。
+- 未登录先展示登录引导，登录后留在同一条评价；不显示任何姓名或正文预览。退出登录或页面进入后台时清除详情，返回页面重新请求和验证权限。
+- 关闭共享后旧链接不再能从接口读取；已经阅读、截图或自行保存的内容不能远程撤回。
+
+本次分享功能不新增表、字段或环境变量，沿用已部署的器械评价字段。