docs(userscripts/README): add risk-control advisory + config panel guide

The standalone userscript README had no mention of the 2026-06-23 click-block
risk control or the config panel options. Add:
- Risk control section: blocked click -> wait 10s or manually click 特惠订阅,
  OCR still auto. One-liner: 入口点不动就手动点特惠订阅，验证码自动打.
- Config panel guide: click delay, first-click delay, auto-close, auto-click.
- F8/F9 hotkeys that were missing.

scripts/userscripts/README.md

@@ -21,7 +21,32 @@ http://127.0.0.1:8888
 
 默认不自动关闭无效支付链接/限流弹窗，需要在配置面板里手动开启。
 
+## ⚠️ 风控与点击拦截（2026-06-23 升级）
+
+智谱近期升级了风控，**自动点击订阅按钮偶尔会被拦截/拒绝**（连人手动点也一样会被拦），页面可能显示「很抱歉，由于您访问的URL有可能对网站造成安全威胁，您的访问被阻断」。
+
+应对方法：
+
+1. **点击被拦截时等约 10 秒**重试，拦截一般不会持续。
+2. **自动点击一直无效时，手动点击「特惠订阅」入口**——手动点入口同样能进入购买流程。
+3. **验证码不用管**：不管订阅入口是脚本自动点还是手动点，**验证码识别（OCR）、点字、点确定都会自动接管**。
+
+一句话：**订阅入口点不动就手动点特惠订阅，验证码自动打**。
+
+风控拦截是智谱服务端行为，脚本侧无法绕过，只能等或换入口。自动点击和验证码处理是解耦的，互不影响。
+
+## 配置面板说明
+
+配置面板（页面右下角齿轮图标，或快捷键）里可调：
+
+- **验证码点字延时策略**：点字之间的随机延时区间（默认 `250-400ms`）。风控更重时可以调大（如 `300-450ms`）。
+- **首击前延时**：识别完到点第一个字之间的等待。验证码 DOM 渲染/动画需要时间，OCR 太快会导致第一击落空。默认 `150-300ms`，设为 0 则不等。
+- **自动关闭无效弹窗**：默认关闭，需手动开启才会自动关闭售罄支付弹窗和限流弹窗。
+- **自动点击订阅**：默认关闭，开启后脚本发现可购会自动点订阅。也可用快捷键临时开启。
+
 快捷键：
 
 - `Esc`：关闭系统繁忙弹窗或支付弹窗
 - `Enter` / `Space`：点击验证码确认按钮
+- `F9`：开启/关闭自动点击订阅
+- `F8`：暂停/恢复脚本