平台共享模型改为「管理员逐用户授权」＋ 品牌中文名改「能力网络」＋ 修掉跨机模型落地/语言偏好静默失效

三条线合并入库（同一次部署批次，源码与生产此前已一致）：

一、档案 138 · 平台共享模型：管理员逐用户授权（默认关闭）
  用户口径原文：「admin 设置的共享模型，需要 admin 在用户列表中开启（新增选项，默认关闭），
  用户才能在会话中使用（以及在设置的模型设置页面展示）」。
  · DB 迁移 v11：新增 users.shared_model_granted（DEFAULT 0 = 默认关闭）。
    ⚠️ 刻意**不**复用 v6 的 shared_model_enabled —— 那是用户侧偏好（用户能自己关，默认 1），
    而本需求要的是**管理员门禁**；共用一列则用户点一下就给自己授权，门禁形同不存在。
    生效 = granted ∧ enabled（server.ts#sharedLandingRows）。
  · 新路由 POST /api/admin/users/:id/models/shared（requireAdmin）＋ 审计 shared_model_grant
    ＋ **尽力而为**重启该用户实例（租约被占/实例未运行都不算失败）。
  · admin 用户列表新增「共享模型」列；用户侧 /api/me/keys 增 shared.granted / sharedModelGranted；
    插件 0.3.24：未授权时「平台共享模型」整块不渲染。

二、顺带修掉一个既有真缺陷：平台侧写用户 home 必须走 UserFs（用户卷在 worker 上）
  landModels 原先 join(owner.home_dir, …) + 本机 fs ⇒ 对「实例不在控制面本机」的用户
  读到空串（**不报错**）⇒ 模型落地一直是**静默空操作**（托管清单还被清空）
  ——即档案 87 的模型设置页对 guest 这类用户**从未生效**。
  · UserFs 新增 readHomeFile/writeHomeFile ＋ 文件名白名单（settings.yaml / .credentials.yaml）
  · worker agent 新增 /fs/home-read /fs/home-write（只认白名单裸文件名）
  · landModels 改走 userFs（与"文件面"同一份按归属路由 ⇒ 落地与实例必然同机）
  · 同轮把 /api/me/locale（档案 102 语言偏好）也改成同一套（原先同样失效）
  · home-files.ts 抽出 backupHomeFile（备份留平台侧，命名规则逐字不变）

三、档案 139 · 品牌中文名：能力枢纽 → 能力网络（其他语言仍 CapabilityNet）
  落点四处：i18n 中文词条 / admin.html 顶栏 / favicon.svg 的 title+aria-label / design.css 注释；
  test/i18n-brand.test.mjs 期望值同步。档案 137 顶部加"后续"指针，不改历史。

验证（全部真机实测）：
  · 红腿：未授权 → 106 上 guest 的 .credentials.yaml refs 变空（共享 key 被撤）
  · 绿腿：授权 → key 回来 ＋ 托管清单恢复 ["DEEPSEEK_API_KEY"]
  · admin 列表带出 sharedModelGranted；用户侧 granted 随授权翻面（true/shared ↔ false/none）
  · 开关两次均 200（不再假失败）；插件实装 0.3.24 且含 gating 字符串
  · 语言偏好：106 上 settings.yaml 出现 locale.preference=en（属主=实例属主，既有段逐字保留）
  · 本机 npm test 226 tests / 225 pass / 0 fail / 1 skipped；四个 verify 脚本全绿

部署：47 推 51 个 lib 产物、106 推 12 个（lib/ 是 gitignore ⇒ 回滚点物化在
/opt/dsh/backups/seq138b-20260919-125345/，逐文件对账 0 不一致；先 106 后 47）；
插件 business-plugins 0.3.24（两机 artifacts 与本机 pack md5 一致）。

src/db/repo.ts

@@ -49,7 +49,8 @@ import {
   type Workspace,
 } from './types.js'
 
-const USER_COLS = 'id, username, pass_hash, role, home_dir, api_key_ref, created_at, approved_by, uid, email'
+const USER_COLS =
+  'id, username, pass_hash, role, home_dir, api_key_ref, created_at, approved_by, uid, email, shared_model_granted'
 const EMAIL_CODE_COLS =
   'id, email, purpose, code_hash, status, attempts, ip, username, reason, created_at, expires_at, consumed_at'
 const DOMAIN_COLS = 'id, user_id, domain, verified, nginx_config, updated_at'
@@ -78,6 +79,9 @@ export function createUser(db: Database, input: CreateUserInput, baseUid: number
       approved_by: null,
       uid,
       email: input.email ?? null,
+      // v11：新用户**未授权**平台共享模型（默认关闭）—— 与列默认值一致，这里显式写出来
+      // 是为了让"新用户拿到什么"在这一个地方就能读全，不必再去翻迁移 SQL。
+      shared_model_granted: false,
     }
   })()
 }
@@ -481,6 +485,26 @@ export function setSharedModelEnabled(db: Database, userId: string, enabled: boo
   return info.changes > 0
 }
 
+/**
+ * **管理员**是否已给该用户开启「平台共享模型」（档案 138 · v11）—— 逐用户门禁。
+ *
+ * 缺失行按 **`false`**（= 未授权）：这与 `getSharedModelEnabled` 的"缺失按 true"**故意相反**，
+ * 因为两者方向不同 —— 用户偏好缺失时"多给"是无害的，而门禁缺失时"多给"就等于把门打开了。
+ * 门禁类判据一律**失败关闭**。
+ */
+export function getSharedModelGranted(db: Database, userId: string): boolean {
+  const row = prepare(db, 'SELECT shared_model_granted FROM users WHERE id = ?').get(userId) as
+    | { shared_model_granted: number }
+    | undefined
+  return row === undefined ? false : row.shared_model_granted !== 0
+}
+
+/** 设置「平台共享模型」的管理员授权（档案 138）。@returns 是否命中该用户。 */
+export function setSharedModelGranted(db: Database, userId: string, granted: boolean): boolean {
+  const info = prepare(db, 'UPDATE users SET shared_model_granted = ? WHERE id = ?').run(granted ? 1 : 0, userId)
+  return info.changes > 0
+}
+
 /** Delete a named key (by id, scoped to the user). */
 export function deleteCredentialKey(db: Database, userId: string, id: string): boolean {
   const info = prepare(db, 'DELETE FROM credential_vault WHERE id = ? AND user_id = ?').run(id, userId)
@@ -530,7 +554,7 @@ export function findSessionWithUser(db: Database, tokenHash: string): SessionUse
   const row = prepare(
     db,
     `SELECT u.id, u.username, u.pass_hash, u.role, u.home_dir, u.api_key_ref, u.created_at, u.approved_by, u.uid,
-            s.expires_at
+            u.shared_model_granted, u.email, s.expires_at
      FROM sessions s JOIN users u ON s.user_id = u.id
      WHERE s.token_hash = ?`,
   ).get(tokenHash) as Record<string, unknown> | undefined