docs: describe partial page protection

project.md

@@ -690,8 +690,10 @@ fan_delta_cum    = follower(d) - follower(首日)
 ### 9.3 只读边界与鉴权
 
 - P2 Web 业务接口只读，写方法统一 `405`；数据管理继续通过 Telegram/CLI/数据库；
-- 本地回环地址且未配置 `web.auth_token` 时免登录；
-- 配置 token 后启用登录页 + HttpOnly Cookie，或使用 `Authorization: Bearer <token>`；
+- 首页、榜单、视频/UP、粉丝页面和接口对访客开放；
+- 配置 `web.auth_token` 后，“候选”和“系统”页面及其接口需要登录，启用登录页 + HttpOnly Cookie，或使用 `Authorization: Bearer <token>`；
+- 未登录访问 `/candidates` / `/system` 会跳转 `/login?next=<原路径>`；
+- 本地回环地址且未配置 `web.auth_token` 时视为无鉴权，全部页面可见；
 - 非回环地址且未配置 token 时拒绝启动；
 - 不做多用户（YAGNI）。