feat(权限): 收敛普通账号写权限至本人凭证

将调度时刻、采集参数等实例级配置收归管理员，普通账号仅可维护本人 Cookie 与 User-Agent。
新增 config.writable_by 作为唯一写权限入口，set_setting 强制全局键落到 user_id=0，
消除「管理员改了只有自己生效」的静默缺陷。新增 tools/check_docs.py 文档自检，
smoke 断言扩至 215 项、check_live 扩至 122 项并支持普通账号越权验收，
忽略 backups/、data/*.bak* 与 legacy-v1/，版本升至 v1.3.0。

workbuddy_portal/web/static/dashboard/index.html

@@ -190,7 +190,9 @@
     <div class="navback">
       <a class="abtn" href="/">← 返回后台</a>
       <a class="abtn" href="/records">数据明细</a>
-      <a class="abtn" href="/logs">日志管理</a>
+      <!-- 日志管理仅管理员可达：角色由 /api/manifest 的 role 字段带回，
+           非管理员时在 boot() 里隐藏，避免给出会 403 的死链 -->
+      <a class="abtn" id="abtnLogs" href="/logs" hidden>日志管理</a>
     </div>
   </div>
   <div class="meta" data-page-node-id="4jmZuGBGC8JQmVAE2IOJ7H">
@@ -1272,6 +1274,9 @@
       $("#err").style.display = "none";
       const mf = src.manifest || {};
       $("#mUpdate").textContent = mf.generated || "-";
+      // 管理员入口按角色显隐（大屏是静态页，拿不到 Jinja 上下文）
+      const logsBtn = $("#abtnLogs");
+      if (logsBtn) logsBtn.hidden = (mf.role !== "admin");
       initDays();
       bind();
       renderScope();