docs: 公网静态部署手册（game.xiangsilian.com）

线上只托管静态文件、不暴露玩具级用户 API；HTTPS 域名下大厅隐藏登录。部署步骤与 Nginx 配置记在 docs/deploy.md，便于以后 rsync 更新。

Co-authored-by: Cursor <cursoragent@cursor.com>

web/index.html

@@ -354,11 +354,21 @@
     }
 
     // ---------- 启动 ----------
+    // 公网站点只托管静态文件，不跑用户 API（PIN 明文，不宜暴露）。
+    // 本地 ./web/serve.sh（http + 非 443）仍显示登录。
+    const PUBLIC_STATIC =
+      location.protocol === 'https:' && location.hostname.endsWith('xiangsilian.com');
+
     reflectSettings();
-    renderUserArea();
-    if (getAuth()) {
-      pullSettings();
-      loadProgress();
+    if (PUBLIC_STATIC) {
+      const userPanel = document.getElementById('user-panel');
+      if (userPanel) userPanel.hidden = true;
+    } else {
+      renderUserArea();
+      if (getAuth()) {
+        pullSettings();
+        loadProgress();
+      }
     }
   </script>
 </body>