docs: describe partial page protection

README.md

@@ -172,7 +172,9 @@ uv run python app.py serve --preview --config data/preview/config.json
 - 粉丝页只绘制粉丝曲线，不叠加视频数据；支持 7/30/90/全部与自选日期，范围超过一年时按每月峰值日期聚合；最近记录默认 14 天并显示较上一成功日的增量；
 - 前端使用 History API 的干净路径路由（`/rank`、`/video/{aid}`、`/up/{mid}`），不使用 `#/` hash；服务端对未知非静态路径回退 `index.html`；
 - 候选池和系统状态只读展示，操作入口指向 Telegram/CLI；
-- 本地回环地址默认免登录；配置 `web.auth_token` 后启用登录页和 HttpOnly Cookie；非回环地址且未配置 token 时拒绝启动；
+- 首页、榜单、视频/UP、粉丝等页面和接口访客可见；
+- 配置 `web.auth_token` 后，“候选”和“系统”页面及其接口需要登录，启用登录页和 HttpOnly Cookie；访客的底部导航只显示公开页面；
+- 本地回环地址且未配置 token 时视为无鉴权，全部页面可见；非回环地址且未配置 token 时拒绝启动；
 - 所有业务接口只接受 GET，写方法返回 `405`。
 
 ### 预览数据