feat(oss): 补齐开源声明体系（MIT + 第三方声明 + 贡献/安全/行为准则）

* LICENSE              —— MIT
  * THIRD-PARTY-NOTICES  —— 依赖清单、再分发合规说明（含随仓库分发的
                            Apache ECharts 5.6.0 / Apache-2.0）与自查清单
  * CONTRIBUTING.md      —— 开发环境、五层验证、必须遵守的不变量、提交规范
  * SECURITY.md          —— 漏洞私有报告渠道、已有措施、已知非目标
  * CODE_OF_CONDUCT.md   —— 改编自 Contributor Covenant 2.1
  * .github/             —— Bug 报告 / 功能建议表单 + PR 模板
  * .editorconfig        —— 与 .gitattributes 保持一致
  * 全部 Python / Shell 源文件加 SPDX-License-Identifier: MIT 头
  * README 增加「开源与许可」章节与许可标识

README.md

@@ -14,9 +14,10 @@
 | 部署 | Docker Compose / 裸机 `waitress`；镜像可推 Gitea 容器注册表 |
 | 鉴权 | 全站登录 + CSRF + 角色（管理员 / 普通用户），凭证存库、页面只回掩码 |
 | 版本 | v1.1.0 |
+| **许可证** | **MIT**（第三方组件与再分发资源见 [THIRD-PARTY-NOTICES.md](THIRD-PARTY-NOTICES.md)） |
 
 **目录**：[核心特性](#核心特性) · [架构](#架构一图) · [快速开始](#快速开始) · [命令一览](#命令一览) ·
-[页面一览](#页面一览) · [接口一览](#接口一览) · [文档导航](#文档导航) · [安全须知](#安全须知)
+[页面一览](#页面一览) · [接口一览](#接口一览) · [文档导航](#文档导航) · [安全须知](#安全须知) · [开源与许可](#开源与许可)
 
 ---
 
@@ -245,6 +246,11 @@ workbuddy-portal/
 | [docs/API.md](docs/API.md) | 开发 / 集成 | 接口参考：路径、参数、返回结构、错误码 |
 | [docs/FAQ.md](docs/FAQ.md) | 所有人 | 常见问题：采集为空、Cookie 失效、时区、性能、权限 |
 | [docs/CHANGELOG.md](docs/CHANGELOG.md) | 所有人 | 变更日志 |
+| [CONTRIBUTING.md](CONTRIBUTING.md) | 贡献者 | 贡献指南：开发环境、验证分层、必须遵守的不变量、提交规范 |
+| [SECURITY.md](SECURITY.md) | 运维 / 安全 | 安全策略：漏洞私有报告渠道、已有措施、已知非目标 |
+| [THIRD-PARTY-NOTICES.md](THIRD-PARTY-NOTICES.md) | 合规 | 第三方组件清单与许可证（含随仓库再分发的 ECharts） |
+| [CODE_OF_CONDUCT.md](CODE_OF_CONDUCT.md) | 所有人 | 行为准则 |
+| [LICENSE](LICENSE) | 所有人 | MIT 许可证全文 |
 
 ---
 
@@ -259,3 +265,42 @@ workbuddy-portal/
 - **开放重定向防护**：登录跳转的 `next` 只接受站内相对路径，`//evil.com` 这类协议相对 URL 一律回落到 `/`。
 - **登录限速**：同 IP 连续失败 5 次锁定 10 分钟；失败计数表有上限与 TTL。
 - **不进版本库的文件**：`data/instance.json`（含 `secret_key`）、`data/usage.sqlite`、`logs/`、`.env`（含明文密码）。
+
+---
+
+## 开源与许可
+
+本项目以 **MIT 许可证**发布，全文见 [LICENSE](LICENSE)。你可以自由使用、修改、商用与再分发，
+只需保留版权声明与许可声明。
+
+### 第三方组件（务必看一眼）
+
+用量大屏**随仓库再分发了 Apache ECharts 5.6.0**（`workbuddy_portal/web/static/dashboard/vendor/echarts.min.js`，
+Apache-2.0 许可）——之所以内置而不走 CDN，是为了让大屏在局域网内离线可用。
+按 Apache-2.0 第 4 条，再分发时需保留其许可证与版权声明（该文件头部已自带）。
+其余运行期依赖（Flask / waitress / openpyxl）不在本仓库内，由使用方安装时获取。
+
+完整的依赖清单、许可证对照表与**合规自查清单**见 [THIRD-PARTY-NOTICES.md](THIRD-PARTY-NOTICES.md)。
+
+### 参与贡献
+
+- 想改代码？先读 [CONTRIBUTING.md](CONTRIBUTING.md) —— 里面有**必须遵守的几条不变量**
+  （SQLite 单写者、列表接口不回 `prompt` 全文、两种字段命名契约不要互相「统一」……），
+  以及从 `compileall` 到容器验证的五层自检该怎么跑。
+- 有想法但手上没有真实数据？`python tools/demo_data.py` 会生成一份**完全合成**的示例库，
+  写到 `data/demo/`（已在 `.gitignore` 内），可直接拿来调试界面与截图。
+- 发现安全漏洞？**请不要开公开 Issue**，按 [SECURITY.md](SECURITY.md) 走私有渠道。
+- 参与本项目即表示你同意遵守 [CODE_OF_CONDUCT.md](CODE_OF_CONDUCT.md)。
+
+### 文档里的数据都是合成的
+
+`docs/images/` 的全部界面截图与 `docs/` 中的 JSON 示例**均为合成数据**：
+模型名统一为 `demo-*`，客户端为 `vscode` / `webconsole` / `sdk`，Prompt 为通用示例文本，
+审计 IP 取自 RFC 5737 的文档专用网段（`192.0.2.0/24`）。
+生成方式是 `tools/demo_data.py`，所以任何人不需要真实账号就能复现整套文档。
+
+### 致谢
+
+- 交互大屏依赖 [Apache ECharts](https://echarts.apache.org/)
+- Web 框架 [Flask](https://flask.palletsprojects.com/)，生产服务器 [waitress](https://github.com/Pylons/waitress)
+- 行为准则框架来自 [Contributor Covenant](https://www.contributor-covenant.org/)