文档重新梳理：README 精简成介绍和索引，细节按主题拆进 docs/zh-CN 与 docs/en（17 篇一一对应），英文文档不含中文

README.zh-CN.md / README.md 只留：这是什么、为什么用它、主要功能（按领域一行一条，链到文档）、快速开始、部署、文档索引、
开发与测试、许可（原文不动）。原来的每一节按读者和任务分到 17 篇主题文档：ask-data、workflows、evidence、
data-sources（新增：接入数据库、只读保证、上传表格、跨库合并、遮罩列）、data-catalog、tools（新增：工具、审批档位、
能力登记、端点、网络规则——它们管所有工作流，不只应用）、apps、evaluation-and-ledger、schedules（含通知）、deployment、
configuration、postgresql-and-scaling、identity-and-security、architecture、development、upgrade-notes（按时间倒序，
每波先写要做的事）、faq。删掉的只有模块名（api/copilot_gen.py、chat/drive.py、data/schema_view.py）、重复的话和
「以前…现在…」的叙述；操作步骤、命令、配置名、限制、权限边界都有归宿。中文是原文，英文按新的中文写；英文里界面文字
只写英文名，开头注明界面目前只有简体中文，中文占位符换成英文占位符，中文数字的例子改成不依赖中文的说法。
数据剖析可以同时剖析 2–3 张表（baf23998）收进 data-catalog。
新增 scripts/check-docs.py：英文文档（README.md、docs/en/**）不许有中日韩字符和全角符号（代码块也算），
README、docs/**、deploy/README.md 的相对链接和锚点都要通，docs/zh-CN 与 docs/en 文件一一对应、标题层级相同。
中文提示里指向 README 章节的地方改指新文档：cluster/guard.py、cluster/version.py、db/base.py 两处报错，
data/schema_view.py 文档串，.env.example 三处，scripts/prod.sh、scripts/test-postgres.sh，terms.ts 两处、
DataSourcesTab.tsx、check-manage.mjs 注释，deploy/README.md 三处链接。deploy/agentlab.env 未动。
验收：check-docs 0 问题（英文文档 18 个 0 处中文，相对链接 369 条 0 断链，18 对标题层级一致）；相关后端测试
117 通过、7 跳过；tsc -b、check-copy 通过。

frontend/src/lib/terms.ts

@@ -398,7 +398,7 @@ export const EVIDENCE_TEXT = {
   /** 遮没遮核对不了、不显示的值（快照、取值链上的产出读不出来）：和「已遮罩」分开，数据源可能根本没设遮罩 */
   unverifiedValue: '无法核对',
   /**
-   * 面板底部：被遮罩的列 + 遮罩对谁是边界（用户拍板写明；口径同 README.zh-CN.md「哪些角色看得到原值」）。搭建者、管理员和未开启登录时
+   * 面板底部：被遮罩的列 + 遮罩对谁是边界（用户拍板写明；口径同 docs/zh-CN/identity-and-security.md「哪些角色看得到原值」）。搭建者、管理员和未开启登录时
    * 的所有人：只减少暴露，完整快照和原始工件中仍为原值；开了登录的使用者：是边界，原值不给
    */
   maskNote: (cols: string[]) =>
@@ -6317,7 +6317,7 @@ export const TOOL_ENDPOINT_TEXT = {
 }
 
 /**
- * 数据源「遮罩的列」下面那句边界说明，口径同 README.zh-CN.md「哪些角色看得到原值」：对开了登录的使用者是边界（查询结果按派生遮罩
+ * 数据源「遮罩的列」下面那句边界说明，口径同 docs/zh-CN/identity-and-security.md「哪些角色看得到原值」：对开了登录的使用者是边界（查询结果按派生遮罩
  * 处理后才给，工具快照原文、运行事件里的结果预览不给，工件按白名单给）；对搭建者、管理员，以及未开启登录时的所有人，
  * 只减少暴露
  */

frontend/src/pages/DataSourcesTab.tsx

@@ -1724,7 +1724,7 @@ function useSchemaColumns(sourceId: string | undefined, active: boolean) {
 
 /**
  * 遮罩的列：列名一个个加成标签，可以从已探查的结构里挑，也可以直接输。
- * 用户拍板写明遮罩的边界，口径同 README.zh-CN.md「哪些角色看得到原值」：对开了登录的使用者是边界；对搭建者、管理员，以及未开启
+ * 用户拍板写明遮罩的边界，口径同 docs/zh-CN/identity-and-security.md「哪些角色看得到原值」：对开了登录的使用者是边界；对搭建者、管理员，以及未开启
  * 登录时的所有人，只减少暴露（MASK_BOUNDARY_TEXT）
  */
 function MaskColumnsInput({ id, sourceId, synced, value, onChange }: {