fix(admin): 局域网大屏卡片按「地址类别」判定 + 三层兜底 + 手填入口（dev_0.5.0）

## 判断失误的修正（主人现场实测出来的）
主人现场是 **169.254 自动配置网段**（没有 DHCP，设备靠链路本地地址互访），
平板实测能访问 `http://169.254.79.190:19540/display`；而卡片一开始把链路本地地址
**排除**了，于是显示「未检测到局域网地址」。
根因：`usableLanIPv4` 排除了 `IsLinkLocalUnicast()`，理由写的是「169.254 说明没拿到 IP」
——那是**对网络健不健康的猜测**，不是**地址能不能用的事实**。

现改为按**地址类别**判定（`ipv4Scope`，全部用标准库谓词，**代码里没有任何网段字面量**）：
只排除「作为对端访问目标没有意义」的四类（回环 / 未指定 / 组播 / 广播），
链路本地与私网、全局一样进候选，只**排在最后**并带说明
「自动配置地址：本网段没有 DHCP，同网段设备可以互相访问」。
新增**反硬编码护栏用例**：函数体内不得出现 `x.x.x.x` 字面量，且必须用满 6 个谓词。
顺带修掉新用例抓出的真 bug：`ipv4Scope(nil)` 曾落进 default 被当成「可用的 global」，
而 IPv6 的 `To4()` 正是 nil → 「只有 IPv6 的网卡」会被误判成有可用地址。

## 三层兜底（离线现场必须拿得到地址）
1. **严格轮**：接口 up 且非回环；
2. **宽松轮**：严格轮为空时不再要求 up 位（某些驱动/虚拟网卡读不到），命中标 `confidence: low`；
3. **默认路由探测**：两轮皆空时用 `net.Dial("udp4", …)` 问出本机源地址
   （UDP connect 只查路由表、不握手不发包，离线安全；TCP 会等 SYN 超时，不能用），标 `confidence: route`。
接口同时回 `scope`（private/global/link-local）与 `skipped`（被跳过的网卡 + 原因，
code 收敛为 no-address / only-ipv6 / not-up / loopback——link-local 不再是「被跳过」的理由）。

## 手填入口（最后一道保险）
自动检测不到、或不是现场要用的网段时，操作员把 `ipconfig` 里的地址填进卡片，
立刻生成链接 + 二维码；排在第一条、带「手动」徽标、可删除、localStorage 持久化、
四条就地校验文案（空/含空格/不像 IP/重复），IPv6 也支持。

## 自检工具
`debug/诊断/局域网地址自检.exe` + 说明：只读、不写文件、不需管理员，
打印系统给 Go 看的网卡列表（含类别）、默认路由探测结果与可用大屏地址。
（正是它把现场定性成 169.254 网段的。）

## 真浏览器验证（四场景，非源码断言）
链接本地地址出链接+二维码+说明句 / 空态列出被跳过网卡并折叠（5 条 + 等共 N 块）/
low 与 route 两种来源提示各占一行互不顶掉 / 手填地址排第一并刷新不丢 —— 全部通过，0 页面错误。

## 文档
使用手册 §9、部署指南 7.5/7.9、上线检查清单（**防火墙放行入站 19540** 与
「另一台设备能打开局域网大屏」两条新增）、常见问题 Q101、升级说明 dev_0.5.0；
devdocs 05/07/13 同步（含这次误判的来龙去脉与「Get-NetAdapter 显示 Up ≠ 有 IP」）。
**没有数据迁移**，旧赛事包照常导入。

自检：服务端 13 包 ×2；前端 vue-tsc + 680 例 ×2 + build；Console 20 文件 + 68 例。

docs/部署指南.md

@@ -388,6 +388,31 @@ scoreboard.exe passwd -config "%LOCALAPPDATA%\ScoreboardConsole\config.yaml" -da
 
 副屏的全屏窗口被误关时，用这里的「创建全屏窗口」就能恢复，不必重启 Console。
 
+**「局域网大屏」卡片：怎么拿到地址（两条路）**
+
+1. **卡片自动检测**：「大屏控制 → 局域网大屏」卡片会列出主机上可用的地址，直接点开或扫码；第一个地址（也就是二维码那一条）就是现场最可能要用的；
+2. **`ipconfig` 手填**：自动检测不到、或者列出来的不是你那张网卡时，在管理员 cmd / PowerShell 里跑 `ipconfig`，把对应网卡的 **IPv4 地址**抄进卡片下方的「手动添加地址」再点「添加」——手填的排在第一条、带「手动」徽标，记在浏览器本地，刷新不丢（最多 10 个，可「删除」）。
+
+**三类地址的含义**（卡片按类别判定，只排除回环 / 未指定 / 组播 / 广播这四类对本机之外没有意义的地址）：
+
+| 类别 | 形如 | 现场含义 | 排序 |
+| --- | --- | --- | --- |
+| 内网地址 | `192.168.x.x`、`10.x.x.x`、`172.16–31.x.x` | 路由器 / 交换机分配或手工设的地址，最常用的现场形态 | 最前 |
+| 全局地址 | 其它网段（运营商专线等） | 能用就照常列出，但多半要经中间设备才通，不一定平板能直连 | 居中 |
+| **自动配置地址** | **`169.254.x.x`** | **本网段没有 DHCP**，地址是设备自己配的；在独立小网络（没路由器、设备直连或只接交换机）里是**正常用法**，同网段设备可互相访问 | 最后 |
+
+另外两种来源会各带一句提示、**照常能用**：网卡状态读不到时提示「网卡状态读不到（可能是驱动或虚拟网卡），地址本身可用，打不开就换下面一条」；按系统默认路由推断出来时提示「这条地址是按系统默认路由推断出来的（网卡枚举里没有它），地址本身可用，打不开就换下面一条」。
+
+**防火墙必须放行入站 19540**（默认端口，改过端口就换成实际端口）。在**管理员** cmd 里跑：
+
+```bat
+netsh advfirewall firewall add rule name="Scoreboard 19540" dir=in action=allow protocol=TCP localport=19540
+```
+
+为什么安装包不能替你加这条：安装包是**免管理员的按用户安装**（默认装到当前用户目录），**不申请管理员提权**，所以改不了系统防火墙规则；这一步必须由现场用管理员身份手动做一次。临时关掉防火墙只能用来**验证**「是不是防火墙挡的」，验证完要恢复；正式开赛前一定用上面这条命令放行，而不是一直关着防火墙。
+
+**排障常识**：Windows 里「网线插着、网卡显示 Up」**不等于拿到了 IP**；`ipconfig` 里看到 `169.254.x.x` 说明**本网段没有 DHCP**（地址是设备自配的）——这在**独立小网络**里是正常用法，**不是故障**，同网段的平板 / 手机照样能访问。
+
 ### 7.6 公告
 
 管理端「大屏控制 → 公告」推送后：
@@ -421,6 +446,7 @@ http://<主机IP>:19540/display
 
 - 这个地址不用手敲：管理端「大屏控制 → 局域网大屏」卡片里有**可复制的完整链接**与**二维码**（第一个地址），别的设备扫码或在浏览器里粘贴即可打开（该卡片需录入员及以上登录才看得到）；
 - 需要主机设置固定 IP，且设备与主机在同一局域网；
+- **主机防火墙要放行入站 19540**（默认端口）：安装包是按用户安装、不申请管理员提权，改不了防火墙规则，需要在**管理员** cmd 里手动执行一次，命令与说明见 7.5；
 - 安卓电视一般常亮，无需额外防熄屏；
 - 浏览器方案**不受** Console 的 kiosk、防熄屏、选屏控制，字体与动画表现以实际设备为准；
 - 现场以 Console + HDMI 为主方案，浏览器访问作为备用。