feat: add public h5 dashboard and publish traceability

FRONTEND_HANDOFF.md

@@ -77,12 +77,16 @@
 - `GET /api/analytics?month=YYYY-MM`
 - `GET /api/h5/months`（旧 H5 月份索引兼容，raw response）
 - `GET /api/monthly/{month_key}/analytics`（旧 H5 analytics 1.2 兼容，raw response）
+- `GET /api/public/h5/months`（匿名 H5 月份索引，只读聚合字段）
+- `GET /api/public/h5/analytics?month=YYYY-MM`（匿名 H5 看板，只读聚合字段；不含 source hash/运营元数据）
 - `GET /api/channel-detail?month=YYYY-MM&worksheet=...`
 - `GET /api/company-reports/jobs`
 - `POST /api/company-reports/jobs`
 - `POST /api/integrations/super-agent/results`
 
-所有公开响应必须 `no-store`；写请求使用同源 session/CSRF，Agent 回写使用机器验签而不是浏览器 CSRF。
+匿名公开范围仅限 H5 页面/资源、上述两个 `/api/public/h5/*` 聚合接口和 `/healthz`；桌面、通用/旧版 H5
+接口、任务、详情健康、下载和写请求仍需 session/CSRF。所有公开响应必须 `no-store`；Agent 回写使用机器验签
+而不是浏览器 CSRF。
 
 ## 7. 本机启动