[dynamicheart]

后台增加超级管理员专用的服务监控，展示请求量、近一分钟请求、耗时、服务错误及近一小时趋势，并按入口和接口模板查看明细。统计覆盖 Agent、OP、授权申请、群回调、资源网页和后台请求；不保存原始 URL、查询参数、凭据或请求正文，聚合内存有固定上限，重启后重新计数。

Agent 命令及用途修改另存为每 bot 的私有 agent-operations.jsonl，保留用户、Agent、用途、请求资源/卡号、机器人回复和派发后的本人资源观察。历史按大小轮转，不新增历史数据库表，也不进入管理员审计。HTTP 200 仍只表示派发；日志失败不会回滚或重放资源操作。现有实时用途表和访问汇总保持原用法。

同时修正资源流程的边界：空闲但仍有预约的资源显示“待领取”，不计为空闲；非 ASCII 查看码统一返回无权限，不触发比较异常。预约轮到用户时保留原预约标识，避免通知更新时间造成用途丢失；无备注领取继续继承原任务。个人、OP 和管理凭据的权限边界保持不变。

验证：

• Python 全量并发测试 1220 通过、5 跳过；最新日志、监控、Skill 和网页授权专项 69 项通过。
• 前端 40 项测试、ESLint、生产构建及 Ruff 检查通过。
• 实际 TCP 测试 120 次快速资源查询，其中 118 次被限流，按入口/接口计数正确；轮询不增加操作历史。
• 实际浏览器检查服务监控与接口明细；此前资源页的 16 资源、手机布局、搜索、队列、后台共享列表验收保留。
• 测试覆盖鉴权、身份不可冒用、凭据脱敏、原文不留存、文件权限与路径保护、并发计数/写入、轮转上限、异常请求和日志失败后命令只执行一次。

设计与统计口径：service-observability.md。

Closes #7

• 19 测试服务 8002 已部署，配置和绑定摘要保持一致；真实 API 写入 0600 历史文件，个人 key 无法读取全服务监控。重启保留文件历史并重置内存计数，真实 HTTP 完整验证预约通知后用途保留及领取继承。