feat(权限): 收敛普通账号写权限至本人凭证

将调度时刻、采集参数等实例级配置收归管理员，普通账号仅可维护本人 Cookie 与 User-Agent。
新增 config.writable_by 作为唯一写权限入口，set_setting 强制全局键落到 user_id=0，
消除「管理员改了只有自己生效」的静默缺陷。新增 tools/check_docs.py 文档自检，
smoke 断言扩至 215 项、check_live 扩至 122 项并支持普通账号越权验收，
忽略 backups/、data/*.bak* 与 legacy-v1/，版本升至 v1.3.0。

workbuddy_portal/web/templates/overview.html

@@ -58,8 +58,10 @@
       <tr><th>Cookie</th><td>{% if mf.health.cookie %}<span class="tag ok">已配置</span>{% else %}<span class="tag bad">未配置</span> <a href="{{ url_for('views.config_page') }}">去配置</a>{% endif %}</td></tr>
       <tr><th>服务器时间</th><td class="mono">{{ sch.now }}</td></tr>
     </table>
-    <p class="hint">调度在 Web 进程内运行，不再需要计划任务或外部自动化。所有时刻与开关都在
-      <a href="{{ url_for('views.tasks') }}">任务管理</a>里改。</p>
+    <p class="hint">调度在 Web 进程内运行，不再需要计划任务或外部自动化。
+      {% if current_user().is_admin %}所有时刻与开关都在
+      <a href="{{ url_for('views.tasks') }}">任务管理</a>里改。{% else %}时刻由管理员统一设定，
+      你可以在<a href="{{ url_for('views.tasks') }}">任务管理</a>里查看，也可以随时手动采集本人数据。{% endif %}</p>
   </section>
 
   <section class="card">
@@ -98,7 +100,8 @@
       <tbody>
       {% for r in runs %}
         <tr>
-          <td><a href="{{ url_for('views.logs', run=r.id) }}">{{ r.id }}</a></td>
+          {# 运行详情在「日志管理」里，而那页仅管理员可达 —— 普通用户不要给死链 #}
+          <td>{% if current_user().is_admin %}<a href="{{ url_for('views.logs', run=r.id) }}">{{ r.id }}</a>{% else %}{{ r.id }}{% endif %}</td>
           <td><span class="tag {{ 'info' if r.trigger=='schedule' else ('accent' if r.trigger=='startup' else 'mute') }}">{{ r.trigger }}</span></td>
           <td class="mono">{{ r.started_at[5:] if r.started_at else '—' }}</td>
           <td class="num">{{ ((r.duration_ms or 0) / 1000) | round(1) }}s</td>