fix: 统一用户资料投影并放开头像访问

docs/IM-前后端对接文档.md

@@ -2439,6 +2439,7 @@ X-MeetingIM-APIKey: <预置的普通 API Key>
 
 - 查询 `GET /v1/im/me/profile` 返回 `avatar_file_id,nickname,birth_date,signature,gender,region,email,public_account,version,field_rules`；`email` 当前仅为资料字段，不用于登录或找回密码。
 - 更新统一使用 `PATCH /v1/im/me/profile`，仅提交变更字段并带 `version`；服务端更新后同步 MeetingIM `me.public` 并推送资料事件。
+- 头像、昵称、签名、性别、地区、公开账号等资料字段以 `im_user_profiles` 为业务真源；`im_users.public` 和 `im_subscriptions.public` 只作为服务端生成的展示投影/缓存，前端不得依赖它们作为可编辑源。
 - 头像先以 `purpose=user_avatar` 上传再 PATCH；任何字段的可见性由隐私策略裁剪。
 
 ### 10.3 设置昵称.png

docs/IM-系统设计文档.md

@@ -508,11 +508,11 @@ end_reason, created_at, updated_at
 
 ### 14.1 个人资料
 
-基础展示资料可以同步到 User Public，但可索引、可审计或敏感字段应进入独立表。
+个人资料以 `im_user_profiles` 为唯一业务真源；User Public 与 `im_subscriptions.public` 仅作为 MeetingIM 协议展示投影/缓存，由服务端在资料变更后同步刷新，业务接口不得把这些投影当作可写真源。
 
 | 字段 | 存储建议 |
 | --- | --- |
-| 头像、昵称、签名 | User Public + `im_user_profiles` |
+| 头像、昵称、签名 | `im_user_profiles`；User Public / Subscription Public 仅保留服务端生成的展示投影 |
 | 生日、地区、性别 | `im_user_profiles`，按隐私设置返回 |
 | 注册手机号 | `im_users.phone`，仅账号安全流程内部使用 |
 | 邮箱 | `im_user_profiles.email`，仅作为个人资料，不作为认证凭证 |