Harden auth/vault path sanitization and clean WeKnora docs

AGENTS.md

@@ -102,7 +102,7 @@
 
 ## 常用命令
 
-- 热启动：`npm run desktop:hot` → `http://localhost:3000`
+- 热启动：`npm run dev:hot` → `http://localhost:3000`
 - 测试：`cargo test -p mnote-web`
 - Control-plane 默认：`MNOTE_CONTROL_PLANE_BACKEND=libsql-local`
 - 云首发：同 `libsql-local` + 服务器本地数据目录；需要托管再换 `turso-remote`
@@ -111,7 +111,14 @@
 
 - 基线：`scripts/TESTING_REFERENCE.md`；默认入口 `3000 + leptos-tiptap + local-first + libSQL auth`。
 - 禁止 smoke 用 `sqlite3` CLI 直写 control-plane；seed 走 Rust API / `scripts/lib/control-plane-dev-seed.js`。
-- 测试账号：`mnote.e2e@example.com` / `MnoteE2E123!` / `mnote-e2e`；优先 `/auth`「测试账号快速登录」。
+- 账号角色（7-76 方案 A，**勿混用**）：
+  | 账号 | 定位 | 密码（本地/dev） | admin 能力 |
+  |------|------|------------------|------------|
+  | `mnote-admin` / `mnote.admin@example.com` | **ops admin**（`/admin/*`、代签、policy） | `MnoteAdmin123!` | 是 |
+  | `mnote-e2e` / `mnote.e2e@example.com` | **AI 主体** `ai_service`（私有工作区/知识库） | `MnoteE2E123!` | **否** |
+  | `liaibo` 等 | 普通 human user | 各自密码 | **否** |
+- 登录走 **标准** `/auth` 表单或 `/api/auth`（已移除「测试账号快速登录」）；开发对标生产。
+- Admin 列表真源：`access-policy.json` 的 `admins` + `MNOTE_ADMIN_USER_IDS`（默认仅 `mnote-admin`）。
 
 ## 前端测试