feat(installer): 「为所有用户安装」那趟自动放行防火墙入站 19540（装时加 / 卸时回收）

- deploy/prepare-extra.mjs 生成的安装器脚本新增两个 !define（规则名 / 端口）与两段逻辑：
  customInstall 里当 $installMode == "all" 且当前是提权进程时，先删后加一条入站放行规则；
  customUnInstall 里只要是管理员就回收同一条规则。失败一律忽略，绝不因此让安装/卸载失败。
- 订正 docs 里「安装包按用户安装、不申请提权、改不了防火墙」这句错话（部署指南 7.5/7.9、
  上线检查清单、常见问题 Q101、升级说明）：选「为所有用户安装」会 UAC 提权，那一趟就把规则加好了；
  「仅为我安装」才需要现场手工放行。手工规则名与自动规则名不同，卸载只删自动那条。
- .gitignore 注释补上「防火墙入站规则」。

验证：四套自检全绿（服务端 13 包 / 前端 vue-tsc + 680 例 + build / Console 20 文件 + 68 例）；
生成器重跑幂等（.nsh 哈希 9edcdc31… 不变）；本机 wine 用 makensis v3.04 编译含该 .nsh 的脚本 0 error。
未验证（需真机）：提权安装后防火墙里真的出现该规则、卸载真的删掉、失败分支真机表现。

docs/上线检查清单.md

@@ -17,9 +17,12 @@
 
 - [ ] Windows 10/11 x64，接市电（建议接 UPS）
 - [ ] 端口 **19540** 未被占用：`netstat -ano | findstr 19540`
-- [ ] **防火墙已放行入站 19540**（局域网设备才能连上）：在**管理员** cmd 里执行
-      `netsh advfirewall firewall add rule name="Scoreboard 19540" dir=in action=allow protocol=TCP localport=19540`
-      —— 安装包是**按用户安装、不申请管理员提权**，改不了防火墙，这一步必须手动做一次；临时「关闭防火墙」只用于**验证**是不是它挡的，验证完要恢复；正式开赛前请用上面这条命令放行，不要一直关着防火墙（改过端口就把 `19540` 换成实际端口）
+- [ ] **防火墙已放行入站 19540**（局域网设备才能连上）—— **自检口径：用另一台设备（平板 / 手机）浏览器打开 `http://<主机IP>:19540/display` 能出画面，就算放行过了**；打不开时先确认装的时候选的是哪一项：
+      - 装的时候选了**「为所有用户安装」**：安装程序提权时**已经自动放行**（防火墙里能看到规则 `Scoreboard Console (TCP 19540)`），不用再手工加；
+      - 装的时候选了**「仅为我安装」**：不申请提权、装不了规则，在**管理员** cmd 里手工放行一次
+        `netsh advfirewall firewall add rule name="Scoreboard 19540" dir=in action=allow protocol=TCP localport=19540`
+        （也可以改用「为所有用户安装」重跑一次安装程序，让它自动放行）
+      —— 临时「关闭防火墙」只用于**验证**是不是它挡的，验证完要恢复；正式开赛前一定放行，不要一直关着防火墙。改过端口就把 `19540` 换成实际端口，安装程序只会自动放行默认端口 `19540`，改过端口的一律手工放行
 - [ ] 数据/配置目录可写：默认 `%LOCALAPPDATA%\ScoreboardConsole\`（数据在 `data\`，配置与规则是 `console\config.json`、`config.yaml`、`rules\`；都在安装目录之外，升级/卸载都不会删），需要放行杀毒/防火墙
 - [ ] 大屏通过 HDMI 接在**同一台机器**上（系统显示模式设为「扩展」）
 - [ ] 显示器数量确认：只接一块屏时大屏只能窗口化（按 F11 可切全屏）；要每屏一个 kiosk 全屏窗口就得接第二块屏（见部署指南 7.3、7.5）