feat(console,admin): kiosk 不再点击穿透 + 压住任务栏；大屏控制页新增「局域网大屏」（链接/复制/二维码）dev_0.4.0

## ① 现场问题：kiosk 窗口点击穿透（原设计方向反了）
`displays.js` 原来对多屏 kiosk 调 `setIgnoreMouseEvents(true)`，注释写的是
「防止现场误触」——但该 API 的语义是「本窗口忽略鼠标」，点击会**落到它后面的
窗口或桌面**，现场想防的误触正好变成误点别的东西；被忽略鼠标的窗口也点不活。
现在窗口**默认吞掉鼠标、不穿透**。

配置项**改名**为 `display.allowClickThrough`（缺省 false；显式 true 才穿透）。
**旧键 `display.ignoreMouse` 完全不读**——老机器的配置文件里还写着旧版模板留下的
`ignoreMouse: true`，而配置策略是「已存在不覆盖」，只改默认值等于老机器升级后
照样穿透；改名才能让默认值真正生效。启动时若发现旧键会记一条中文提示（只记一次），
并在合并后的配置里把它剥掉，防止将来有人再读到那个陈年 true。
（不是自动改写用户配置文件：无法区分「操作员刻意写的 true」与「旧模板留下的 true」。）

## ② 现场问题：任务栏盖住 kiosk 窗口、被盖住后抢不回前台
原顺序是 `setKiosk(true)` 之后又 `setBounds(...)`，在 Windows 上会把窗口从真正的
全屏态拽回「恰好铺满该屏的无边框窗口」→ 不是 topmost，任务栏与拖过去的窗口都盖得住。
现在固定为 **先 `setBounds` 定位 → 再 `setKiosk(true)` → 最后 `setAlwaysOnTop(true,
'screen-saver')`**（默认层级 `floating` 在 Windows 上仍画在任务栏下面），并加了
「已达标就不重复进出 kiosk」的守卫避免重排白闪；非 kiosk 分支会摘掉置顶。
Win 真机行为需现场复核，代码/桩级已验（含顺序与层级的断言）。

## ③ 新功能：大屏控制页「局域网大屏」卡片
- 服务端新增 `GET /api/system/network`（recorder 及以上）：回本机可用局域网 IPv4
  （排除回环/link-local/IPv6，去重，按 192.168/10/172.16-31 优先排序）+ 真实监听端口
  + 路径；无地址回 `[]` 不报错。
- 卡片：每个地址一条可点击链接 + 复制按钮，第一个地址配二维码（148px）。
- **二维码是离线自实现的纯 TS 编码器**（版本 1–40 自动、ECC L/M/Q/H、8 种掩码择优），
  正确性用 **Python OpenCV 真解码**验收：29/29 条解出原文（含中文与边界），
  SVG 渲染后再解码 4/4，并把验证过的矩阵冻结成仓库参照用例。
- 复制按**非安全上下文**处理：面板常从 `http://192.168.x.x` 打开，那里
  `navigator.clipboard` 是 undefined，自动回退 `execCommand('copy')`。

## ④ 真机联调抓出并修掉一个时序缺陷（真浏览器 + 真服务端）
`DisplayPage` 的 `refreshLan()` 在挂载时跑，而 `auth` 是异步加载的——那一刻
`auth.readOnly` 必然为 true，卡片把「当前为只读访客」写进一个**普通 ref** 就返回了，
身份落定后没有任何东西再触发它：**管理员登录后卡片永远停在访客态，
`/api/system/network` 一次都没被请求**。
改为「gate 由 computed 直接渲染 + watch gate 变 null 时重跑加载」，并补回归钉子。
（同时修正了一条把该错误结构当成正确行为的源码断言用例。）
端到端证据：真服务 + 局域网 IP（真非安全上下文）→ 卡片列出两个地址、点击复制变
「已复制」（走 execCommand 回退）→ 浏览器渲染的二维码截图经 cv2 解出
`http://10.50.101.85:19861/display`。

## 文档
部署指南配置表与多屏行为、使用手册「大屏控制」与局域网设备段、devdocs 05/07/10/13、
升级说明新增 dev_0.4.0（含旧键废弃与启动提示）。**无数据迁移**，旧赛事包照常导入。

自检：服务端 13 包 ×2；前端 vue-tsc + 645 例 ×2 + build；Console 20 文件 + 68 例。

web/src/shared/api.ts

@@ -1,4 +1,4 @@
-import { isRawBody, isRecord, readString } from './internal'
+import { firstNumberOrNull, isRawBody, isRecord, readString } from './internal'
 import { normalizeRulePack } from './rules'
 import { readTeamRanksView, readTeamRanksViews } from './teamRanks'
 import { parseYaml } from './yaml'
@@ -26,6 +26,8 @@ import type {
   HealthInfo,
   ImportConflictDecision,
   LiveEvents,
+  NetworkAddress,
+  NetworkInfo,
   Page,
   PageQuery,
   PointAdjustment,
@@ -433,6 +435,13 @@ export interface SystemApi {
    * 不能像普通写操作那样立刻认为已经生效（与切换赛事同一套等待逻辑）。
    */
   restore(input: BackupRestoreInput): Promise<BackupRestoreResult>
+
+  /**
+   * 本机局域网地址（`GET /api/system/network`，recorder 及以上可读）。
+   *
+   * 交给大屏控制页拼「局域网大屏」地址用；访客请求会吃 403，调用方按权限不足处理。
+   */
+  network(): Promise<NetworkInfo>
 }
 
 /**
@@ -703,6 +712,44 @@ function readProjectInfo(value: unknown): ProjectInfo | null {
   }
 }
 
+function readNetworkAddress(value: unknown): NetworkAddress | null {
+  if (!isRecord(value)) return null
+  const ip = readString(value, 'ip')
+  // 没有 ip 的行拼不出地址，留着只会在卡片上多出一条空链接。
+  if (ip === null || ip === '') return null
+  return {
+    ip,
+    interface: readString(value, 'interface') ?? '',
+    family: readString(value, 'family') ?? 'ipv4',
+  }
+}
+
+/**
+ * 归一化 `GET /api/system/network`。
+ *
+ * 端口/路径是拼地址的原料，前端不替服务端猜：缺端口就留 0，由页面判断「读不到可用地址」
+ * 并给说明——编一个默认端口出来会得到一条看着对、实际打不开的链接。
+ * addresses 不是数组时按「没检测到地址」处理，交给页面显示空态。
+ */
+function readNetworkInfo(value: unknown): NetworkInfo {
+  const port = firstNumberOrNull(isRecord(value) ? value['port'] : null)
+  const rawAddresses = isRecord(value) && Array.isArray(value['addresses']) ? value['addresses'] : []
+  return {
+    port: port !== null && port > 0 ? Math.floor(port) : 0,
+    displayPath: normalizePath(readString(value, 'displayPath'), '/display'),
+    adminPath: normalizePath(readString(value, 'adminPath'), '/admin'),
+    addresses: rawAddresses
+      .map(readNetworkAddress)
+      .filter((item): item is NetworkAddress => item !== null),
+  }
+}
+
+/** 服务端没给路径时退回约定值；补前导斜杠，免得拼出 `http://ip:portdisplay`。 */
+function normalizePath(value: string | null, fallback: string): string {
+  const path = value === null || value.trim() === '' ? fallback : value.trim()
+  return path.startsWith('/') ? path : `/${path}`
+}
+
 function createProjectsApi(http: Http): ProjectsApi {
   return {
     list: async () => {
@@ -904,6 +951,8 @@ export class ApiClient {
           body: input,
           timeoutMs: RESTORE_TIMEOUT_MS,
         }),
+      // request() 会把 {ok,data} 拆开，这里拿到的是 data 本体，再按字段归一化。
+      network: async () => readNetworkInfo(await http.request<unknown>('/system/network')),
     }
     this.projects = createProjectsApi(http)