Fix MCP permissions and repayments; restrict deletion to default admin

README.md

@@ -42,7 +42,7 @@ pnpm check:staged # git add 后，提交前检查本地凭证和禁止提交的
 
 管理员登录并改密后，侧栏显示“管理员后台”，可添加账号、设置管理员/普通用户/只读用户权限、封禁和解除封禁。新建账号也需要首次改密。现有账号保留普通用户权限；管理员账号管理不会授予查看其他用户财务数据的能力。权限或封禁状态变化会撤销该用户全部登录会话和 MCP 授权；只读账号的业务写入、MCP 写入和草稿均由服务端拒绝，仍可改自己的登录密码、授权只读连接。详细验证见 [管理员功能验证](docs/admin-accounts.md)。
 
-设置并登录另一位已完成改密的管理员后，可以在后台删除原 `admin`：输入原账号名称、验证当前管理员密码并确认。不能删除当前登录账号，且必须保留一位未封禁、已完成改密的管理员。删除会清理被删除账号的全部私人数据和授权，请先由该用户保存需要的备份；共享图标保留。仍有其他管理员时，重启不会重新创建默认账号。
+仅允许删除默认 `admin`（账号名为 admin 且角色为管理员），其他管理员、普通用户和只读用户均禁止删除。先设置并登录另一位已完成改密的管理员，再输入 admin、验证当前管理员密码并确认。不能删除当前登录账号，且必须保留一位未封禁、已完成改密的管理员。删除会清理被删除账号的全部私人数据和授权，请先由该用户保存需要的备份；共享图标保留。仍有其他管理员时，重启不会重新创建默认账号。
 
 金额原币保留，金额/汇率使用十进制字符串和 MySQL Decimal。归档只停止金额编辑，仍参与统计；需要归零时先更新余额。每次金额更新新增独立历史，同日按记录顺序保留；每日趋势使用当日最后余额；已有错误记录可单独更正，转账及其之前的历史需通过新增余额调整修正，避免破坏双方一致性。币种与资产负债属性创建后固定。详情同时显示原币和本位币金额。
 
@@ -92,7 +92,7 @@ Invoke-RestMethod http://localhost:5173/api/openapi.json
 
 ## 账户分组、定时计划与收支日历
 
-账户可自定义分组，并通过弹窗选择全部或分组账户；快速记账模式点击账户直接录入当前余额。资产账户允许透支，欠债显示负数，负债/支出显示红色。
+账户可自定义分组，并通过弹窗选择全部或分组账户；快速记账模式点击账户直接录入当前余额。资产账户允许透支；余额（含信用卡溢缴存款）显示绿色，欠款和透支显示负数、红色；变化记录与账户选择器使用相同颜色。
 
 “定时计划”支持支出及转账，打开账户页时按需执行，每批最多 20 项；仅在本应用内记账。新增“收支日历”默认今天，月历与当日明细在同页上下展示，按账户余额变化估算，排除内部转账、借贷本金及初始余额。
 
@@ -148,3 +148,5 @@ git config remote.pushDefault github
 MCP 同一连接、同一账目快照下的多个新增账号草稿可依次审阅确认；其他修改仍保留状态冲突检查。修复前已失效的草稿需只为尚未新增的账号重新生成，见 [多账号草稿确认修复](docs/fix-mcp-create-drafts-2026-10-04.md)。
 
 独立资产支持现金分类和快速估值。登录页可记住账号并交由浏览器密码管理器保存密码。草稿弹窗支持全量分页、批量同意与取消，提交失败整批回滚。详见 [现金、草稿审阅与登录更新](docs/update-cash-drafts-login-2026-10-05.md)。
+
+已授权的 OAuth 与个人令牌可在“我的连接”修改只读、草稿或直接写入权限和隐藏账户权限，验证当前密码后生效；不延长授权期限，实际变更会取消该连接未确认草稿。MCP `movement_create(operation=repay)` 支持信用卡等负债账户，并保留真正还款类型及优惠、编辑和撤销语义。详见 [连接权限、还款与账号删除更新](docs/update-connections-repayment-users-2026-10-05.md)。