Security review: staff admin lockdown, unicode-safe login/phone/grade inputs, demo guest not upgradable, home cache not floodable

- accounts admin: phone/is_guest read-only for non-superusers, device_id filter lookups refused,
  auth.User/Group admin writable only by superusers
- campaigns: delivery log needs view permission
- phone/OTP/birth date: any Unicode digit normalised or rejected with 400; unknown gradeId is 400
- shared demo guest is never turned into a person's account by logging in
- /api/home with unknown gradeId is no longer cached (LocMemCache flood reset throttle counters)
- /api/progress/nodes: one query, huge unit is 400
- BazaarCredential token filter lookups refused

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

accounts/phone.py

@@ -11,15 +11,27 @@
 (کلیدهای TEST_LOGIN_PHONES)؛ فیلدِ serializer در accounts/serializers.py است.
 """
 import re
+import unicodedata
 
-_DIGITS = str.maketrans('۰۱۲۳۴۵۶۷۸۹٠١٢٣٤٥٦٧٨٩', '01234567890123456789')
 _SEPARATORS = re.compile(r'[\s\-().\u200c\u200e\u200f]')
-_MOBILE = re.compile(r'09\d{9}')
+# [0-9] نه \d: در پایتون \d هر رقمِ یونیکد (تمام‌عرض، ریاضی، دوناگری…) را هم می‌گیرد.
+_MOBILE = re.compile(r'09[0-9]{9}')
+
+
+def ascii_digits(value: str) -> str:
+    """
+    هر رقمِ دهدهیِ یونیکد (فارسی، عربی، تمام‌عرض «０»، ریاضی «𝟎»، …) → رقمِ لاتین.
+
+    بدونِ این «0912345678９» شماره‌ی جدایی می‌شد با سقفِ پیامک و حسابِ جدا. «²» و «①» رقمِ
+    دهدهی نیستند و دست نمی‌خورند، پس شماره‌ای که آن‌ها را دارد رد می‌شود.
+    """
+    return ''.join(str(unicodedata.decimal(ch)) if not ch.isascii() and ch.isdecimal() else ch
+                   for ch in value)
 
 
 def normalize_phone(value) -> str | None:
     """شکلِ یکتای ‎09XXXXXXXXX‎، یا None اگر موبایلِ ایران نباشد."""
-    s = _SEPARATORS.sub('', str(value or '').translate(_DIGITS))
+    s = _SEPARATORS.sub('', ascii_digits(str(value or '')))
     if s.startswith('+98'):
         s = '0' + s[3:]
     elif s.startswith('0098'):