feat(installer): 「为所有用户安装」那趟自动放行防火墙入站 19540（装时加 / 卸时回收）

- deploy/prepare-extra.mjs 生成的安装器脚本新增两个 !define（规则名 / 端口）与两段逻辑：
  customInstall 里当 $installMode == "all" 且当前是提权进程时，先删后加一条入站放行规则；
  customUnInstall 里只要是管理员就回收同一条规则。失败一律忽略，绝不因此让安装/卸载失败。
- 订正 docs 里「安装包按用户安装、不申请提权、改不了防火墙」这句错话（部署指南 7.5/7.9、
  上线检查清单、常见问题 Q101、升级说明）：选「为所有用户安装」会 UAC 提权，那一趟就把规则加好了；
  「仅为我安装」才需要现场手工放行。手工规则名与自动规则名不同，卸载只删自动那条。
- .gitignore 注释补上「防火墙入站规则」。

验证：四套自检全绿（服务端 13 包 / 前端 vue-tsc + 680 例 + build / Console 20 文件 + 68 例）；
生成器重跑幂等（.nsh 哈希 9edcdc31… 不变）；本机 wine 用 makensis v3.04 编译含该 .nsh 的脚本 0 error。
未验证（需真机）：提权安装后防火墙里真的出现该规则、卸载真的删掉、失败分支真机表现。

docs/常见问题.md

@@ -687,5 +687,5 @@ Console 启动的多屏窗口默认每屏锁定一页。到「大屏控制」点
 1. **先看卡片列出的「已检查」原因**：新版空态会逐条列出检查过的网卡与各自被跳过的原因，例如「没找到可用的局域网地址。已检查：以太网（接口未连接）、WLAN（只有 IPv6 地址）。」——原因有「**接口未连接**」「**只有 IPv6 地址**」「**接口没有地址**」「**回环接口**」四种；最多列 5 条，网卡更多时其余折叠成「**等共 N 块网卡**」。照着原因去修那一张网卡（插好网线 / 给它一个 IPv4 地址 / 看看 DHCP）。如果看到的仍是旧句「未检测到局域网地址（可能是没插网线 / 只有回环）。」，说明这台机器上的前后端还没更新到最新版，按下面几步照样能排查；
 2. **`ipconfig` 确认有没有 IPv4 地址**：在 cmd / PowerShell 里跑 `ipconfig`。注意 **Windows 里「网线插着、网卡显示 Up」不等于拿到了 IP**；如果只看到 `169.254.x.x`，说明**本网段没有 DHCP**，地址是设备自配的——这在**独立小网络**（没有路由器、设备直连或只接一台交换机）里是**正常用法，不是故障**，同网段的平板 / 手机照样能访问；
 3. **手动添加地址**：自动检测不到、或者列出来的不是你要的那个网段时，把 `ipconfig` 里那条 IPv4 地址填进卡片下方的「手动添加地址」再点「添加」——立刻出链接和二维码（排第一条、带「手动」徽标、刷新不丢，最多 10 个）；
-4. **放行防火墙入站 19540**：地址对了、别的设备还是打不开，多半是主机防火墙挡了。在**管理员** cmd 里执行 `netsh advfirewall firewall add rule name="Scoreboard 19540" dir=in action=allow protocol=TCP localport=19540`（改过端口就换成实际端口）；临时关闭防火墙只用于**验证**是不是它挡的，验证完要恢复；
+4. **放行防火墙入站 19540**：地址对了、别的设备还是打不开，多半是主机防火墙挡了。装的时候选的是**「为所有用户安装」**的话，安装程序提权时**已经自动放行**（防火墙里能看到规则 `Scoreboard Console (TCP 19540)`），不用再手工加；选「仅为我安装」的机器要手工放行——在**管理员** cmd 里执行 `netsh advfirewall firewall add rule name="Scoreboard 19540" dir=in action=allow protocol=TCP localport=19540`（改过端口就换成实际端口；也可以改用「为所有用户安装」重跑一次安装程序让它自动放行，但自动放行只认默认端口 19540）；临时关闭防火墙只用于**验证**是不是它挡的，验证完要恢复；
 5. **还不行就跑自检**：运行 `debug\诊断\局域网地址自检.exe`，把它的输出发回给我们。