Security review: staff admin lockdown, unicode-safe login/phone/grade inputs, demo guest not upgradable, home cache not floodable

- accounts admin: phone/is_guest read-only for non-superusers, device_id filter lookups refused,
  auth.User/Group admin writable only by superusers
- campaigns: delivery log needs view permission
- phone/OTP/birth date: any Unicode digit normalised or rejected with 400; unknown gradeId is 400
- shared demo guest is never turned into a person's account by logging in
- /api/home with unknown gradeId is no longer cached (LocMemCache flood reset throttle counters)
- /api/progress/nodes: one query, huge unit is 400
- BazaarCredential token filter lookups refused

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

accounts/views.py

@@ -390,7 +390,7 @@ class LoginView(APIView):
             Session.objects.create(
                 user=user,
                 refresh_token=hash_refresh_token(refresh_token),
-                device_id=request.data.get('deviceId', ''),
+                device_id=serializer.validated_data.get('deviceId', ''),
                 expires_at=timezone.now() + timezone.timedelta(days=settings.REFRESH_TOKEN_TTL_DAYS),
             )
         access_token = issue_access_token(user.id)
@@ -414,15 +414,19 @@ def _upgradable_guest(request, phone: str):
     """
     مهمانی که با توکنِ خودش درخواستِ ورود داده و این شماره هنوز حسابی ندارد.
 
-    شماره‌های TEST_LOGIN_PHONES عمداً کنار گذاشته می‌شوند: حساب‌های دمو با
-    همین شماره‌ها ساخته شده‌اند و ورودِ آزمایشی نباید حسابِ مهمانِ دمو
-    (`frontend-test-device`) را به یک شماره تبدیل کند.
+    شماره‌های TEST_LOGIN_PHONES و مهمان‌های DEMO_GUEST_DEVICE_IDS عمداً کنار گذاشته می‌شوند:
+    هر دو حسابِ نمایشیِ مشترک‌اند و ورود نباید یکی را به دیگری یا به شماره‌ی یک نفر تبدیل کند.
     """
     if phone in settings.TEST_LOGIN_PHONES:
         return None
     user = getattr(request, 'user', None)
     if user is None or not getattr(user, 'is_authenticated', False) or not user.is_guest:
         return None
+    # مهمانِ نمایشیِ عمومی (DEMO_GUEST_DEVICE_IDS) هم مالِ یک نفر نیست: بدونِ این، هر کس از
+    # نشستِ آن با شماره‌ی خودش وارد می‌شد کلِ حساب و داده‌ی دمو را به شماره‌ی خودش می‌برد و
+    # نشستِ بقیه را باطل می‌کرد. آن کاربر حسابِ تازه‌ی خودش را می‌گیرد.
+    if user.device_id in settings.DEMO_GUEST_DEVICE_IDS:
+        return None
     return User.objects.filter(pk=user.pk, is_guest=True, phone__isnull=True).first()