feat(oss): 补齐开源声明体系（MIT + 第三方声明 + 贡献/安全/行为准则）

* LICENSE              —— MIT
  * THIRD-PARTY-NOTICES  —— 依赖清单、再分发合规说明（含随仓库分发的
                            Apache ECharts 5.6.0 / Apache-2.0）与自查清单
  * CONTRIBUTING.md      —— 开发环境、五层验证、必须遵守的不变量、提交规范
  * SECURITY.md          —— 漏洞私有报告渠道、已有措施、已知非目标
  * CODE_OF_CONDUCT.md   —— 改编自 Contributor Covenant 2.1
  * .github/             —— Bug 报告 / 功能建议表单 + PR 模板
  * .editorconfig        —— 与 .gitattributes 保持一致
  * 全部 Python / Shell 源文件加 SPDX-License-Identifier: MIT 头
  * README 增加「开源与许可」章节与许可标识

workbuddy_portal/__init__.py

@@ -1,4 +1,7 @@
 # -*- coding: utf-8 -*-
+# SPDX-License-Identifier: MIT
+# Copyright (c) 2026 Wang Chuanli
+
 """WorkBuddy Portal —— 独立 Flask 项目。
 
 一个程序管全部：

workbuddy_portal/client.py

@@ -1,4 +1,7 @@
 # -*- coding: utf-8 -*-
+# SPDX-License-Identifier: MIT
+# Copyright (c) 2026 Wang Chuanli
+
 """云端用量接口客户端（纯 urllib，不依赖 requests/浏览器）。
 
 接口：POST {api_base}/billing/meter/get-user-request-usage

workbuddy_portal/collect.py

@@ -1,4 +1,7 @@
 # -*- coding: utf-8 -*-
+# SPDX-License-Identifier: MIT
+# Copyright (c) 2026 Wang Chuanli
+
 """采集主流程：云端增量 -> SQLite（去重、断点、漂移校验、运行记录）。
 
 与原 fetch_usage.py 的差别：

workbuddy_portal/config.py

@@ -1,4 +1,7 @@
 # -*- coding: utf-8 -*-
+# SPDX-License-Identifier: MIT
+# Copyright (c) 2026 Wang Chuanli
+
 """基础配置。
 
 刻意保持「薄」：凡是运行期要改的东西（cookie、调度周期、采集参数）都放数据库

workbuddy_portal/db.py

@@ -1,4 +1,7 @@
 # -*- coding: utf-8 -*-
+# SPDX-License-Identifier: MIT
+# Copyright (c) 2026 Wang Chuanli
+
 """SQLite 访问层。
 
 并发约定（重要）：

workbuddy_portal/query.py

@@ -1,4 +1,7 @@
 # -*- coding: utf-8 -*-
+# SPDX-License-Identifier: MIT
+# Copyright (c) 2026 Wang Chuanli
+
 """SQL 聚合层：所有统计都在 SQLite 里算完再出去，页面不再搬运全量明细。
 
 返回结构刻意与旧版 dashboard/data/*.json 的字段保持一致（d/c/k/fc/bc/m/h、

workbuddy_portal/scheduler.py

@@ -1,4 +1,7 @@
 # -*- coding: utf-8 -*-
+# SPDX-License-Identifier: MIT
+# Copyright (c) 2026 Wang Chuanli
+
 """进程内调度器（手写，不依赖 APScheduler）。
 
 为什么不引 APScheduler：

workbuddy_portal/security.py

@@ -1,4 +1,7 @@
 # -*- coding: utf-8 -*-
+# SPDX-License-Identifier: MIT
+# Copyright (c) 2026 Wang Chuanli
+
 """密码哈希、登录装饰器、CSRF。
 
 局域网可访问 ⇒ 必须有鉴权。这里用 Werkzeug 自带的 PBKDF2，不引第三方依赖。

workbuddy_portal/web/__init__.py

@@ -1,4 +1,7 @@
 # -*- coding: utf-8 -*-
+# SPDX-License-Identifier: MIT
+# Copyright (c) 2026 Wang Chuanli
+
 """Web 层包：蓝图注册。"""
 from . import api, views
 

workbuddy_portal/web/api.py

@@ -1,4 +1,7 @@
 # -*- coding: utf-8 -*-
+# SPDX-License-Identifier: MIT
+# Copyright (c) 2026 Wang Chuanli
+
 """JSON API —— ECharts 大屏与后台页面的数据入口。
 
 约定：

workbuddy_portal/web/views.py

@@ -1,4 +1,7 @@
 # -*- coding: utf-8 -*-
+# SPDX-License-Identifier: MIT
+# Copyright (c) 2026 Wang Chuanli
+
 """页面路由（Jinja 模板）。
 
 分工：