feat(安全): 对外暴露面加固 + 界面去 AI 化（v1.5.0）

界面（去 AI 味）：
- 大屏页清除 114 处生成器残留属性 data-page-node-id
- 视觉系统改回工程控制台风格：去 radial/linear-gradient、去辉光、
  去标题前彩色装饰条，改为中性灰阶 + 单一蓝色强调色；KPI 色条改状态点
- 精简各页说教式长提示；修掉 profile.html 泄漏到页面上的 Markdown 星号
- 删除登录页过时的「默认账号 admin / admin123」提示（1.4.0 起已无默认口令）

安全与隐私（按「将会被公网访问」收口）：
- 内部异常只回 8 位事件号，完整堆栈进服务端日志（web/api.py::_internal）
- 导出文件名收敛：防响应头注入与路径穿越；manage.py passwd 补用户名校验
- 登录对不存在的账号也走一次哑哈希，抹平用户名枚举的时序差异
- /api/* 读接口限速 240 次 / 60 秒 / 账号（挡住循环调 /api/bundle）
- 进程 umask 0077 + 目录 0700 / 文件 0600：对话正文与主密钥的落盘权限
- 表名与库文件路径只对管理员下发；大屏页所有数据插值转义
- --debug 只允许绑定回环地址；新增 Permissions-Policy 与 413 处理器

文档：
- DEPLOYMENT 新增第十三节「安全与隐私基线」；迁移表补 1.4.0 → 1.5.0 行
- SECURITY 更新支持范围、新增「信息泄漏收敛」小节与上线检查项
- .codebuddy/ 加入 .gitignore（助手工作记忆不进仓库）

版本：1.4.0 → 1.5.0（无库结构变更，user_version 仍为 4）
验证：python tools/smoke.py → ok=264 fail=0；python tools/check_docs.py → 0 处问题

workbuddy_portal/web/templates/users.html

@@ -5,7 +5,7 @@
 <div class="pagehead">
   <div>
     <h1>用户管理</h1>
-    <p class="lead">维护账号、状态与管理员身份。单价数据<b>按账号隔离</b>——管理员也看不到别人的用量与凭证</p>
+    <p class="lead">维护账号、状态与管理员身份。用量数据按账号隔离，管理员也看不到别人的用量与凭证</p>
   </div>
   <div class="actions">
     <span class="tag accent">仅管理员可见</span>
@@ -36,8 +36,7 @@
         </select>
       </label>
       <button class="btn primary" type="submit">创建账号</button>
-      <p class="hint">密码至少 8 位且需含两类以上字符。新账号默认是<b>普通账号</b>；
-        管理员身份请显式选择。无论哪种身份，都需要各自配置自己的 Cookie 才能采集。</p>
+      <p class="hint">密码至少 8 位且需含两类以上字符。无论何种身份，都需要各自配置 Cookie 才能采集。</p>
     </form>
   </section>
 
@@ -92,10 +91,8 @@
       </table>
     </div>
     <p class="hint">
-      「停用」会让该账号<b>立刻</b>失效（每个请求都会校验状态，不必等会话过期），
-      其数据与 Cookie 都保留；「删除」是<b>不可逆</b>的，会连同该账号的用量数据与 Cookie
-      一起删除（接口层另有保留数据的开关，供脚本调用时指定）。
-      管理员不能取消自己的管理员身份、不能停用或删除自己，也不能删掉最后一个启用的管理员。
+      「停用」立即失效，数据与 Cookie 保留；「删除」不可逆，会连同用量数据与 Cookie 一起删除。
+      管理员不能取消自己的管理员身份，也不能停用或删除自己。
     </p>
   </section>
 </div>