docs: refresh public docs for current codebase, add SECURITY.md

- README: real counts (44 commands, 61 integration asserts, demo=25 records
  + 4 semesters + 7 attachments), add resume/assessment module features,
  env vars incl. LSKY, doc navigation table, done-roadmap items checked
- docs/api.md: /auth/logout, admin users/demo-rebuild/sync-lsky routes,
  attachment thumb/download channels, profile_upsert top-key merge
  semantics, full footprint_list query reference, 44-command table
- sync-server/README: replace stale ADMIN_TOKEN/X-Admin-Token admin section
  (actual is_admin Bearer model), add go-live checklist, backup note for WAL
- CHANGELOG: add Unreleased section (resume/assessment modules, security
  fixes, perf tuning)
- CONTRIBUTING: 61 asserts, security-sensitive-change guidance, perf baseline
  table, security issue routing
- docs/SECURITY.md: new - report channel, threat model table, hardening
  summary, known tradeoffs
- LICENSE: ensure MIT file matches README badge

app/README.md

@@ -5,12 +5,13 @@ React 19 前端 + Tauri 2 桌面壳 + 共用 Node 命令层。
 
 ## 结构
 
-    src/          React 前端（时间线 / 记录 / 成绩 / 统计 / 类型 / 字典 / 管理）
-    public/       PWA：sw.js（v3，接口类请求绝不缓存）/ manifest / 图标
+    src/          React 前端（时间线/记录/成绩/统计/类型/字典/个人信息/简历/综合测评/管理）
+    public/       PWA：sw.js（接口类请求绝不缓存）/ manifest / 图标
     src-tauri/    Tauri 2 桌面壳（Windows NSIS 安装包构建）
-    server/       db.mjs 命令层（37 个命令，Web 与桌面共用）+ seed.mjs（本地演示数据）
+    server/       db.mjs 命令层（44 个命令，Web 与桌面共用）+ seed.mjs（本地演示数据）
     schema.sql    数据库 schema（Rust 与 Node 共用同一份，v2 含同步元数据）
+    src/lib/zongce.ts   综测计分引擎（细粒度条款聚合 + 学业同源口径）
+
+测试与约定见 [`../CONTRIBUTING.md`](../CONTRIBUTING.md)；架构底稿见 [`../docs/DESIGN.md`](../docs/DESIGN.md)；HTTP 契约见 [`../docs/api.md`](../docs/api.md)。
 
 图标再生成：`python ../tools/gen_icons.py`（桌面）与 `python ../tools/gen_pwa_icons.py`（PWA）。
-
-文档：[`../docs/DESIGN.md`](../docs/DESIGN.md)（设计底稿）· [`../docs/api.md`](../docs/api.md)（HTTP API）· [`../sync-server/`](../sync-server/)（服务器）。