docs: describe partial page protection

DEVELOPMENT.md

@@ -506,7 +506,10 @@ P3 实现说明：
 
 - P2 看板**只读**：业务接口只注册 GET，写方法统一返回 `405`；
 - 数据管理（收藏、忽略、拉黑、移出库、移除黑名单）继续通过 Telegram、CLI 或数据库完成；
-- `/api/health` 可匿名；配置 `web.auth_token` 后其他 `/api/*` 要求 Cookie 或 `Authorization: Bearer <token>`；
+- `/api/health` 和 `/api/session` 可匿名；
+- 首页、榜单、视频/UP、粉丝页面和接口访客可见；
+- 配置 `web.auth_token` 后，`/api/candidates`、`/api/system` 和 `/candidates`、`/system` 页面要求 Cookie 或 `Authorization: Bearer <token>`，未登录访问页面会跳转 `/login?next=<原路径>`；
+- 未配置 token 时视为无鉴权，全部页面可见；
 - 只读接口不需要 CSRF；登录 POST 只建立会话，不修改业务数据；
 - API 返回 JSON；前端不复制热度、状态机或收藏夹归属判断；
 - 不提供导出接口，结果只通过页面浏览。

README.md

@@ -172,7 +172,9 @@ uv run python app.py serve --preview --config data/preview/config.json
 - 粉丝页只绘制粉丝曲线，不叠加视频数据；支持 7/30/90/全部与自选日期，范围超过一年时按每月峰值日期聚合；最近记录默认 14 天并显示较上一成功日的增量；
 - 前端使用 History API 的干净路径路由（`/rank`、`/video/{aid}`、`/up/{mid}`），不使用 `#/` hash；服务端对未知非静态路径回退 `index.html`；
 - 候选池和系统状态只读展示，操作入口指向 Telegram/CLI；
-- 本地回环地址默认免登录；配置 `web.auth_token` 后启用登录页和 HttpOnly Cookie；非回环地址且未配置 token 时拒绝启动；
+- 首页、榜单、视频/UP、粉丝等页面和接口访客可见；
+- 配置 `web.auth_token` 后，“候选”和“系统”页面及其接口需要登录，启用登录页和 HttpOnly Cookie；访客的底部导航只显示公开页面；
+- 本地回环地址且未配置 token 时视为无鉴权，全部页面可见；非回环地址且未配置 token 时拒绝启动；
 - 所有业务接口只接受 GET，写方法返回 `405`。
 
 ### 预览数据

project.md

@@ -690,8 +690,10 @@ fan_delta_cum    = follower(d) - follower(首日)
 ### 9.3 只读边界与鉴权
 
 - P2 Web 业务接口只读，写方法统一 `405`；数据管理继续通过 Telegram/CLI/数据库；
-- 本地回环地址且未配置 `web.auth_token` 时免登录；
-- 配置 token 后启用登录页 + HttpOnly Cookie，或使用 `Authorization: Bearer <token>`；
+- 首页、榜单、视频/UP、粉丝页面和接口对访客开放；
+- 配置 `web.auth_token` 后，“候选”和“系统”页面及其接口需要登录，启用登录页 + HttpOnly Cookie，或使用 `Authorization: Bearer <token>`；
+- 未登录访问 `/candidates` / `/system` 会跳转 `/login?next=<原路径>`；
+- 本地回环地址且未配置 `web.auth_token` 时视为无鉴权，全部页面可见；
 - 非回环地址且未配置 token 时拒绝启动；
 - 不做多用户（YAGNI）。