feat(安全): 对外暴露面加固 + 界面去 AI 化（v1.5.0）

界面（去 AI 味）：
- 大屏页清除 114 处生成器残留属性 data-page-node-id
- 视觉系统改回工程控制台风格：去 radial/linear-gradient、去辉光、
  去标题前彩色装饰条，改为中性灰阶 + 单一蓝色强调色；KPI 色条改状态点
- 精简各页说教式长提示；修掉 profile.html 泄漏到页面上的 Markdown 星号
- 删除登录页过时的「默认账号 admin / admin123」提示（1.4.0 起已无默认口令）

安全与隐私（按「将会被公网访问」收口）：
- 内部异常只回 8 位事件号，完整堆栈进服务端日志（web/api.py::_internal）
- 导出文件名收敛：防响应头注入与路径穿越；manage.py passwd 补用户名校验
- 登录对不存在的账号也走一次哑哈希，抹平用户名枚举的时序差异
- /api/* 读接口限速 240 次 / 60 秒 / 账号（挡住循环调 /api/bundle）
- 进程 umask 0077 + 目录 0700 / 文件 0600：对话正文与主密钥的落盘权限
- 表名与库文件路径只对管理员下发；大屏页所有数据插值转义
- --debug 只允许绑定回环地址；新增 Permissions-Policy 与 413 处理器

文档：
- DEPLOYMENT 新增第十三节「安全与隐私基线」；迁移表补 1.4.0 → 1.5.0 行
- SECURITY 更新支持范围、新增「信息泄漏收敛」小节与上线检查项
- .codebuddy/ 加入 .gitignore（助手工作记忆不进仓库）

版本：1.4.0 → 1.5.0（无库结构变更，user_version 仍为 4）
验证：python tools/smoke.py → ok=264 fail=0；python tools/check_docs.py → 0 处问题

workbuddy_portal/web/templates/backups.html

@@ -39,9 +39,8 @@
 </div>
 
 <div class="flash warn" style="margin-bottom:16px">
-  <b>恢复会覆盖当前全部数据</b>（账号、用量、配置一起换成归档里的那一份）。
-  系统会在恢复前<b>自动先备份一次当前库</b>并保留在列表里，恢复错了可以再恢复到那一份。
-  恢复完成后所有既有登录会话失效，需要重新登录。
+  恢复会用归档内容覆盖当前全部数据（账号、用量、配置）。系统会在恢复前自动备份当前库并保留在列表里，
+  恢复错了可以再恢复到那一份。恢复完成后所有登录会话失效，需要重新登录。
 </div>
 
 <div class="grid2">
@@ -69,12 +68,8 @@
                value="{{ s.backup_keep }}">
         <em class="unit">份（超出的自动删最旧的）</em></label>
       <button class="btn primary" type="submit">保存备份设置</button>
-      <p class="hint">
-        自动备份在调度线程里执行，有采集任务在跑时会自动让路、下一轮再打。
-        备份使用 SQLite 的在线备份 API，<b>采集写入期间也能拿到一致快照</b> ——
-        这一点是手工 <code>cp usage.sqlite</code> 做不到的。
-        每份归档打完后按「保留份数」清理最旧的那些。
-      </p>
+      <p class="hint">自动备份在调度线程里执行，有采集在跑时让路到下一轮。走 SQLite 在线备份 API，
+        采集写入期间也能拿到一致快照。打完按「保留份数」清理最旧的。</p>
     </form>
   </section>
 
@@ -91,18 +86,14 @@
         <code>manifest.json</code>（时间、行数、积分、逐文件校验值）
       </td></tr>
       <tr><th>为什么带上密钥</th><td>
-        没有 <code>instance.json</code> 里的 <code>cookie_key</code>，归档里的凭证密文
-        就永远解不开 —— 那样的「恢复」等于把所有账号的 Cookie 弄丢。
+        没有 <code>instance.json</code> 里的 <code>cookie_key</code>，归档中的凭证密文就解不开。
       </td></tr>
-      <tr><th>因此</th><td>
-        <b>归档等于全库数据 + 密钥</b>，下载后请当作机密文件保管；
-        它<b>不会</b>进入代码仓库、也不会被打进镜像（见 <code>.gitignore</code> /
-        <code>.dockerignore</code>）。
+      <tr><th>保管要求</th><td>
+        归档 = 全库数据 + 密钥，下载后请按机密文件保管；它不会进入仓库，也不会被打进镜像。
       </td></tr>
       <tr><th>目录独立</th><td>
-        备份目录刻意<b>不在 <code>data/</code> 里面</b>：容器里 <code>data/</code> 是数据卷，
-        <code>docker compose down -v</code> 会把正本和副本一起删掉。
-        容器里它挂在独立卷 <code>wb_backups</code> 上。
+        备份目录不在 <code>data/</code> 内，避免容器 <code>down -v</code> 时正本与副本一起被删；
+        容器里挂在独立卷 <code>wb_backups</code> 上。
       </td></tr>
     </table>
   </section>
@@ -158,11 +149,7 @@
       </tbody>
     </table>
   </div>
-  <p class="hint">
-    列表里的「记录 / 积分 / 账号」是归档生成时的计数，用来挑一份合适的恢复 ——
-    恢复前程序还会再校验一次归档的完整性与库结构版本，校验不过不会动你的数据。
-    档案文件名只能由本程序生成（服务端会拒绝任何带路径的文件名）。
-  </p>
+  <p class="hint">「记录 / 积分 / 账号」是归档生成时的计数。恢复前会先校验归档完整性与库结构版本，校验不过不动数据。</p>
 </section>
 
 {% endblock %}