feat(web): move candidates/system nav to topbar, free mobile bottom nav

DEVELOPMENT.md

@@ -509,7 +509,7 @@ P3 实现说明：
 - 数据管理（入库、忽略、拉黑、移出库、移除黑名单）继续通过 Telegram、CLI 或数据库完成；
 - `/api/health` 和 `/api/session` 可匿名；
 - 首页、榜单、视频/UP、粉丝页面和接口访客可见；
-- 配置 `web.auth_token` 后，`/api/candidates`、`/api/system` 和 `/candidates`、`/system` 页面要求 Cookie 或 `Authorization: Bearer <token>`，未登录访问页面会跳转 `/login?next=<原路径>`；
+- 配置 `web.auth_token` 后，`/api/candidates`、`/api/system` 和 `/candidates`、`/system` 页面要求 Cookie 或 `Authorization: Bearer <token>`，未登录访问页面会跳转 `/login?next=<原路径>`；「候选」「系统」入口放在顶栏右侧（未登录显示「登录」、登录后显示「候选 | 系统」），不占底部主导航，避免移动端底部拥挤；
 - 未配置 token 时视为无鉴权，全部页面可见；
 - 只读接口不需要 CSRF；登录 POST 只建立会话，不修改业务数据；
 - API 返回 JSON；前端不复制热度或状态机判断；