feat(installer): 「为所有用户安装」那趟自动放行防火墙入站 19540（装时加 / 卸时回收）

- deploy/prepare-extra.mjs 生成的安装器脚本新增两个 !define（规则名 / 端口）与两段逻辑：
  customInstall 里当 $installMode == "all" 且当前是提权进程时，先删后加一条入站放行规则；
  customUnInstall 里只要是管理员就回收同一条规则。失败一律忽略，绝不因此让安装/卸载失败。
- 订正 docs 里「安装包按用户安装、不申请提权、改不了防火墙」这句错话（部署指南 7.5/7.9、
  上线检查清单、常见问题 Q101、升级说明）：选「为所有用户安装」会 UAC 提权，那一趟就把规则加好了；
  「仅为我安装」才需要现场手工放行。手工规则名与自动规则名不同，卸载只删自动那条。
- .gitignore 注释补上「防火墙入站规则」。

验证：四套自检全绿（服务端 13 包 / 前端 vue-tsc + 680 例 + build / Console 20 文件 + 68 例）；
生成器重跑幂等（.nsh 哈希 9edcdc31… 不变）；本机 wine 用 makensis v3.04 编译含该 .nsh 的脚本 0 error。
未验证（需真机）：提权安装后防火墙里真的出现该规则、卸载真的删掉、失败分支真机表现。

docs/升级说明.md

@@ -44,7 +44,7 @@
 2. 用录入员及以上账号进「大屏控制」页，确认「局域网大屏」卡片列出地址；只有 `169.254.x.x` 的机器上应能看到它、并带「自动配置地址」那句说明；
 3. 用平板 / 手机扫第一个地址的二维码，确认能打开大屏；
 4. 自动检测为空时试一次「手动添加地址」（填 `ipconfig` 里的地址），确认立刻出链接与二维码；
-5. 局域网设备连不上的机器，按《部署指南》7.5 的命令放行入站 **19540**；
+5. 局域网设备连不上的机器，先确认装的时候选的是哪一项：选**「为所有用户安装」**的，安装程序提权时已经自动放行入站 **19540**（防火墙里能看到规则 `Scoreboard Console (TCP 19540)`）；选「仅为我安装」的，按《部署指南》7.5 的命令手工放行一次；
 6. 用《上线检查清单》过一遍。
 
 ### ⑥ 详细说明在哪