feat(multi-user): 多用户化 + 凭证加密 + 自助注册与图形验证码

数据隔离
- settings / usage_records 主键改为 (user_id, key) / (user_id, request_id)，
  索引一律以 user_id 打头；collect_runs / audit_log 增加 user_id
- query / collect / scheduler 全链路把 uid 作为 conn 之后的第一个位置参数且无默认值
  （漏传直接 TypeError，不会退化成「返回全量」）
- 配置三级回落 个人→实例→DEFAULTS；NO_FALLBACK_KEYS={cookie,user_agent} 不回落

凭证保密
- 新增 workbuddy_portal/crypto.py：手写 ChaCha20(RFC8439 §2.3) + HMAC-SHA256
  encrypt-then-MAC，零第三方依赖；主密钥 cookie_key 与 SECRET_KEY 分键位存放
- get_secret() 是取明文的唯一通道；get_settings() 把加密键置空；
  secret_state() 只回 {set,chars,tail,broken}；升级时自动加密历史明文

注册与验证码
- 新增 /register 与 workbuddy_portal/captcha.py（手写 PNG + 点阵字模 + 干扰线）
- 验证码答案只存服务端表、不进 session，一次性、5 分钟过期、按 purpose 隔离
- allow_register / register_max_per_ip / captcha_policy / captcha_length 四个实例级开关
- 失败限速改为 IP + 用户名双维度；停用账号每请求回查、立即失效

页面
- 新增 /profile（个人中心）与注册页；登录页加验证码与自助注册入口
- /config 增加凭证状态、cookie_broken 告警、实例级设置区；/users 增加邮箱/状态与启停

修复
- base.html 顶层 {% set me %} 覆盖子模板同名变量，导致个人中心「注册于」渲染为空
- WB_COOKIE_SECURE 未写进 compose 的 environment，在 .env 里设了不生效
- 「修改登录密码」提示写「至少 6 位」，与实际策略（≥8 位 + 两类字符）不符
- 「用户管理」删除说明写「可勾选保留」，与页面实际行为不符
- 注册页与 flash 文案里的 **强调** Markdown 字面量

验证与文档
- smoke.py 99 → 165 项断言（多用户隔离 / 凭证保密 / 注册与验证码 / 3 条防回归）
- check_live.py 56 → 83 项断言（新增注册 / 验证码 / 安全响应头一节）
- demo_data.py 造两个账号；shots.py 自动过验证码、重出 11 张截图
- README / SECURITY / ARCHITECTURE / API / DEPLOYMENT / USER-GUIDE / FAQ / CHANGELOG / CONTRIBUTING 同步

workbuddy_portal/web/static/css/app.css

@@ -115,6 +115,9 @@ code {
 .topbar .me { margin-left: auto; display: flex; align-items: center; gap: 10px; flex: 0 0 auto; }
 .topbar .who { color: var(--sub); font-size: 12.5px; }
 .topbar .who b { color: var(--text); font-weight: 600; }
+/* 用户名同时是「个人中心」入口，所以是 <a>：去掉下划线并给悬浮反馈 */
+.topbar .who { display: flex; align-items: center; gap: 6px; text-decoration: none; }
+.topbar .who:hover, .topbar .who:hover b { color: var(--cyan); }
 
 /* ---------------- 布局 ---------------- */
 .wrap { max-width: 1480px; margin: 0 auto; padding: 20px 22px 60px; }
@@ -379,6 +382,23 @@ select option { background: #111a2e; color: var(--text); }
   margin: 16px 0 0; padding-top: 14px; border-top: 1px solid var(--line);
   color: var(--dim); font-size: 11.5px; line-height: 1.7;
 }
+/* 注册页字段比登录页多，卡片给宽一点（沿用 .login 的纵向节奏） */
+.login.wide { max-width: 470px; }
+/* 字段说明（如「3~32 位，字母或数字开头」）跟在 label 文字后面 */
+.login label em.unit { font-style: normal; margin-left: 6px; font-size: 11px; color: var(--dim); }
+
+/* 验证码：输入框与图片并排一行（.caprow 是**新组件独有**前缀，
+   刻意不叫 .bar —— 页面里 .bar 是筛选条，带着 backdrop-filter 与 margin，
+   撞名会导致整块文字被虚化且被顶高） */
+.caprow { display: flex; align-items: center; gap: 10px; }
+.caprow input { flex: 1 1 auto; min-width: 0; letter-spacing: 2px; }
+/* 图片按 PNG 原始高度显示（150x56，scale=5），不缩放才最清晰 */
+.capimg {
+  flex: 0 0 auto; height: 56px; width: auto; display: block;
+  border: 1px solid var(--line); border-radius: var(--r-ctl);
+  background: var(--panel-dim); cursor: pointer; transition: .15s;
+}
+.capimg:hover { border-color: var(--cyan); }
 
 /* ---------------- 错误页 ---------------- */
 .errpage { text-align: center; padding: 66px 24px; }