docs(zh): align Windows sections with start.ps1 / WSL-only autostart

Review feedback (nesquena 9/24, PR #7814):

1. §三.1 "首次准备" 原本让用户在 WebUI 仓库本地 `python -m venv venv`
   再 `pip install -r requirements.txt`，但 `start.ps1`（line 132-136）
   启动时优先用 `<hermes-agent>\venv\Scripts\python.exe`，找不到才
   回退到 PATH 上的 `python`——WebUI 本地的 venv 永远不会被它挑中。
   照原指南装的依赖会变成死代码，启动时仍然缺包。重写为：要求把
   requirements.txt 装进 hermes-agent 的 venv，列出 hermes-agent 的
   常见安装位置，保留 WebUI 本地 venv 作备选但明确警告。

2. §三.4 之前是 "Windows 开机自启"，但内容（setup_webui_autostart.ps1
   → wsl.exe → scripts/wsl/hermes_webui_autostart.sh）实际上**只**
   启动 WSL 里的 WebUI，放在 native-Windows 章节里会误导用户以为
   native 启动也有自启配套。把它从 §三 抽出，单独成节
   "## 四、WSL 用户：Windows 开机自启"，顶部加 WSL-only 提示，
   §四/§五 顺延为 §五/§六，FAQ 里的 cross-ref 同步更新，README
   中文链接文案改为 "...Windows 原生部署（自启仅适用 WSL 用户）"
   不再暗示 native 自启。

3. 顺手处理两条可选小项：

   a. start.sh / start.ps1 / bootstrap.py 都会从仓库 .env 加载
      `HERMES_WEBUI_PASSWORD`，且 .env 里的值**覆盖**命令行内联
      的 env var。在 §三.2 加 callout 提示：改完密码后打开登录页
      确认真的要求输入密码；如未生效就清 .env 或显式
      `HERMES_WEBUI_PRESERVE_ENV=1`。

   b. §六.1 "Tailscale 私有" 原写法 "仅你的 tailnet 设备可达" 在
      方案 B（`HERMES_WEBUI_HOST=0.0.0.0`）下不成立——`0.0.0.0`
      绑的是所有接口，"仅 tailnet" 完全靠防火墙那条
      `100.64.0.0/10` 规则兜底。改为：首选 `HERMES_WEBUI_HOST=
      $(tailscale ip -4)`（只绑 Tailscale 网卡，更严），次选
      `0.0.0.0` + 防火墙，并明确标注"防火墙被改/被关就立刻
      对 LAN/公网开放"。

保留 24dd1fbd 的 public-exposure note 修正。

README.md

@@ -684,7 +684,7 @@ The WebUI is still coupled to Hermes Agent internals for runtime execution, prov
 
 **Deploying & operating**
 - [`docs/remote-access.md`](docs/remote-access.md) — SSH tunnel, Tailscale, and phone access (incl. a community ARM64-Android field report)
-- [`docs/remote-access-zh.md`](docs/remote-access-zh.md) — 中文远程访问指南：Tailscale、SSH 隧道、Windows 原生部署与开机自启
+- [`docs/remote-access-zh.md`](docs/remote-access-zh.md) — 中文远程访问指南：Tailscale、SSH 隧道、Windows 原生部署（自启仅适用 WSL 用户）
 - [`docs/advanced-chat-setup.md`](docs/advanced-chat-setup.md) — optional dynamic recall-prefill and Gateway-backed browser chat for self-hosted deployments
 - [`docs/docker.md`](docs/docker.md) — Docker compose setup, common failures, and bind-mount migration
 - [`docs/supervisor.md`](docs/supervisor.md) — launchd, systemd, supervisord, runit, and s6 process-supervisor setup