feat(console): 开机自启默认关闭，服务管理窗口加手动开关

- DEFAULTS.startup.openAtLogin 与随包 config.json 默认改为 false；
  applyOpenAtLogin 只有显式 true 才注册登录项（缺省/null/false 都不注册）
- config.js 新增 updateConfig()：只写回文件里已有的键 + 目标键，不把 DEFAULTS 落盘
- 主进程 setOpenAtLogin()：改内存 → 写回 config.json → setLoginItemSettings，
  任一失败都回滚，返回 {ok, openAtLogin}；状态快照新增 openAtLogin / openAtLoginSupported
- 渲染层：服务端状态卡片新增「开机自启」滑块（纯 CSS，无依赖），
  切换即时生效并有本地意图守卫，避免被随后到达的陈旧快照冲掉
- 文档：console/README.md 与 docs/部署指南.md 同步

注意：旧包 config.json 里已显式写 true 的用户升级后仍会自启（不悄悄改既有行为），
在窗口里关一次即可；全新安装默认不注册。

console/README.md

@@ -6,7 +6,7 @@
 2. 用 `screen.getAllDisplays()` 枚举显示器，把大屏页面投到扩展屏；
 3. `powerSaveBlocker.start('prevent-display-sleep')` 防熄屏；
 4. 提供启动/停止/状态/日志的管理 GUI 和托盘菜单；
-5. 打包后随系统启动，现场断电重启后无需人工干预；
+5. 默认不随系统启动，可在服务管理窗口的「开机自启」开关里开启；
 6. 在服务管理窗口展示服务端在线的大屏实例（`GET /api/display/instances`）。
 
 规范来源：`devdocs/06-大屏端设计.md` 第 6 节、`devdocs/10-部署与现场方案.md` 第 4 节。
@@ -82,7 +82,7 @@ scoreboard-windows-amd64/
 | 停止服务 | 先 `POST server.shutdownPath` 并带 `X-Shutdown-Token`（启动时用 `crypto.randomBytes(32)` 生成，经环境变量 `SCOREBOARD_SHUTDOWN_TOKEN` 只交给该子进程）请求服务端优雅关闭；受理后最多等 `shutdownTimeoutMs`，超时或接口不可用（404/连接失败）再强杀 |
 | 已连接大屏实例 | 管理窗口打开时每 5 秒读一次服务端 `GET /api/display/instances`（复用管理面板的 `scoreboard_session` Cookie，需记录员及以上），显示实例数、页面名与在线状态；窗口隐藏即停表，未登录/服务未启动时显示占位文案 |
 | 关管理窗口 | 只隐藏到托盘，服务端继续运行；退出必须走托盘「退出」 |
-| 开机自启 | 打包后在 Windows/macOS 上注册（`startup.openAtLogin`，默认开），开发态不注册 |
+| 开机自启 | 默认关闭；在服务管理窗口的「开机自启」开关里控制（`startup.openAtLogin`），仅打包后的 Windows/macOS 生效，开发态不注册 |
 | 窗口外观 | 管理窗口与服务端管理面板窗口都是 `frame: false` 无边框，标题栏与最小化/最大化/关闭三键由页面自绘（拖拽区 `-webkit-app-region: drag`，按钮 `no-drag`，双击标题栏切最大化，关闭键 hover 变红） |
 | 服务端管理面板 | 用独立无边框 Electron 窗口加载 `http://127.0.0.1:<port>/admin`（`shell-preload.js` 暴露 `window.desktopShell`），不再调系统浏览器；面板页在浏览器里直接打开时标题栏自动不渲染 |
 | 管理员账号 | 主进程 `spawn` 同目录 `scoreboard.exe passwd -config <同一份配置> -user <当前用户名> -new-username <新用户名> -password <新密码>`（留空 = 不改 / 随机生成）。本机进程、不经 HTTP，因此免登录验证；用户名/密码含空格、制表符或换行会被主进程拒绝，密码不进日志。`passwd` 会作废该用户全部会话，UI 提交前二次确认并提示 |
@@ -111,7 +111,7 @@ scoreboard-windows-amd64/
 | `display.reloadEveryHours` | `24` | 定时重载兜底，0 = 关闭 |
 | `display.waitForServerMs` | `20000` | 服务端未就绪时开大屏的兜底等待 |
 | `display.backgroundColor` | `#0b0f1a` | 窗口底色，减少加载白闪 |
-| `startup.openAtLogin` | `true` | 打包后随系统启动（开发态不注册） |
+| `startup.openAtLogin` | `false` | 默认不随系统启动；在服务管理窗口「开机自启」开关里控制（开发态不注册） |
 | `admin.width` / `admin.height` | `1040` / `760` | 管理窗口初始尺寸（服务端管理面板窗口按 `width` 不小于 1100 取用） |
 | `log.maxLines` / `log.file` / `log.maxFileBytes` | `2000` / `logs/console.log` / `4194304` | 日志缓冲与文件 |