docs: describe partial page protection

DEVELOPMENT.md

@@ -506,7 +506,10 @@ P3 实现说明：
 
 - P2 看板**只读**：业务接口只注册 GET，写方法统一返回 `405`；
 - 数据管理（收藏、忽略、拉黑、移出库、移除黑名单）继续通过 Telegram、CLI 或数据库完成；
-- `/api/health` 可匿名；配置 `web.auth_token` 后其他 `/api/*` 要求 Cookie 或 `Authorization: Bearer <token>`；
+- `/api/health` 和 `/api/session` 可匿名；
+- 首页、榜单、视频/UP、粉丝页面和接口访客可见；
+- 配置 `web.auth_token` 后，`/api/candidates`、`/api/system` 和 `/candidates`、`/system` 页面要求 Cookie 或 `Authorization: Bearer <token>`，未登录访问页面会跳转 `/login?next=<原路径>`；
+- 未配置 token 时视为无鉴权，全部页面可见；
 - 只读接口不需要 CSRF；登录 POST 只建立会话，不修改业务数据；
 - API 返回 JSON；前端不复制热度、状态机或收藏夹归属判断；
 - 不提供导出接口，结果只通过页面浏览。