feat(权限): 收敛普通账号写权限至本人凭证

将调度时刻、采集参数等实例级配置收归管理员，普通账号仅可维护本人 Cookie 与 User-Agent。
新增 config.writable_by 作为唯一写权限入口，set_setting 强制全局键落到 user_id=0，
消除「管理员改了只有自己生效」的静默缺陷。新增 tools/check_docs.py 文档自检，
smoke 断言扩至 215 项、check_live 扩至 122 项并支持普通账号越权验收，
忽略 backups/、data/*.bak* 与 legacy-v1/，版本升至 v1.3.0。

.gitignore

@@ -20,6 +20,11 @@ data/**/instance.json
 
 data/exports/*.csv
 
+# 兜底：手工 cp 出来的快照（如 usage.sqlite.bak-pre-v13）绝不能入库，
+# 它含 settings 的凭证密文与 users 的密码哈希
+data/*.bak*
+data/*.sqlite-bak*
+
 # 界面截图（tools/shots.py 生成的临时产物；手册配图在 docs/images/）
 data/shots/
 
@@ -29,6 +34,17 @@ data/demo/
 # ---- 日志 ----
 logs/*
 
+# ---- 数据库备份 ----
+# 全目录忽略，只放行说明文件。备份含凭证密文与密码哈希，永不入库。
+# 刻意不放在 data/：data/ 是 Docker 卷，down -v 会把备份和正本一起删掉。
+backups/*
+!backups/README.md
+!backups/.gitkeep
+
+# ---- v1.0 旧版归档 ----
+# 若仓库被整体移到工作区根，legacy-v1/（含真实 CSV）必须继续被忽略
+legacy-v1/
+
 # ---- 保留目录本身 ----
 # docker-compose 是绑定挂载，宿主机目录必须先存在，
 # 否则 Docker 会以 root 自动创建，Linux 上会引发「unable to open database file」