feat(oss): 补齐开源声明体系（MIT + 第三方声明 + 贡献/安全/行为准则）

* LICENSE              —— MIT
  * THIRD-PARTY-NOTICES  —— 依赖清单、再分发合规说明（含随仓库分发的
                            Apache ECharts 5.6.0 / Apache-2.0）与自查清单
  * CONTRIBUTING.md      —— 开发环境、五层验证、必须遵守的不变量、提交规范
  * SECURITY.md          —— 漏洞私有报告渠道、已有措施、已知非目标
  * CODE_OF_CONDUCT.md   —— 改编自 Contributor Covenant 2.1
  * .github/             —— Bug 报告 / 功能建议表单 + PR 模板
  * .editorconfig        —— 与 .gitattributes 保持一致
  * 全部 Python / Shell 源文件加 SPDX-License-Identifier: MIT 头
  * README 增加「开源与许可」章节与许可标识

docs/CHANGELOG.md

@@ -22,16 +22,31 @@
 - **容器环境变量**：`WB_HOST` `WB_PORT` `WB_DATA_DIR` `WB_LOG_DIR` `WB_DB`
   `WB_ADMIN_USER` `WB_ADMIN_PASSWORD` `WB_DISABLE_SCHEDULER` `WB_IMPORT_CREDS` `WB_IMPORT_XLSX`
 - **文档体系** `docs/`：
-  [用户使用手册](USER-GUIDE.md)（含 9 张界面截图）、
+  [用户使用手册](USER-GUIDE.md)（含 9 张界面截图，**全部用合成示例数据渲染**）、
   [部署与运维指南](DEPLOYMENT.md)（含推镜像到 Gitea 注册表的完整流程）、
   [架构与设计说明](ARCHITECTURE.md)、
   [接口参考](API.md)、
   [常见问题](FAQ.md)
+- **开源声明体系**（仓库根目录）：[LICENSE](../LICENSE)（MIT）、
+  [THIRD-PARTY-NOTICES.md](../THIRD-PARTY-NOTICES.md)（依赖清单与再分发合规自查）、
+  [CONTRIBUTING.md](../CONTRIBUTING.md)（含「必须遵守的不变量」与五层自检方法）、
+  [SECURITY.md](../SECURITY.md)、[CODE_OF_CONDUCT.md](../CODE_OF_CONDUCT.md)、
+  `.github/` 下的 Issue 表单与 PR 模板、`.editorconfig`，
+  以及给全部 Python / Shell 源文件加 `SPDX-License-Identifier: MIT` 头
+- **`tools/demo_data.py`**：生成**完全合成**的示例库（假模型名 / 假 Prompt / 偏斜的积分分布），
+  写入 `data/demo/`（已在 `.gitignore` 内）。文档截图与本地调试都基于它，
+  任何人不需要真实账号就能复现整套界面
 - **`.gitattributes`**：强制 `*.sh` / `Dockerfile` / 各类源码为 LF
   （带 CRLF 的 `.sh` 在容器里会报 `exec format error`，极难定位）
 
 ### 变更
 
+- **文档数据脱敏**：9 张界面截图全部改用合成示例数据重拍；
+  `docs/API.md`、`docs/DEPLOYMENT.md` 示例响应里的真实模型名与真实统计数字一并替换为示例口径。
+  此前截图中含**真实 Prompt 全文**、本机路径与本机用户名，属于不该公开的内容
+- **`.gitignore` 补强**：只写 `data/*.sqlite` 会漏掉子目录，改为同时保留 `data/**/*.sqlite`
+  等规则，并新增 `data/demo/` 忽略——否则 `tools/demo_data.py` 的产物会被误提交
+
 - **项目定名**：`wb_usage_portal` → **`workbuddy-portal`**；
   Python 包 `wb_usage` → **`workbuddy_portal`**；会话 cookie
   `wb_usage_sid` → `workbuddy_portal_sid`（升级后需要重新登录）