feat(core): 加 MSA 授权码流（本地回调服务器）并接到账户页

research/08 方案 A：GUI 的微软登录改走授权码流（HMCL 主流做法），设备码流保留给
CLI/无浏览器场景。两条流只差「怎么拿到 MS access_token」，拿到之后共用
chain::complete_chain 与 MicrosoftSession，落盘/刷新语义没有第二套。

core（crates/core/src/auth/microsoft/）
- endpoints：新增 authorize（…/consumers/oauth2/v2.0/authorize），与 token 同租户。
- authcode：RedirectUri 是 http://localhost:{port}/auth 的唯一来源（授权 URL、
  token 请求体、实际监听三处共用，坑 5）；AuthCodePolicy（回调超时 300s / 绑定重试 3 次 /
  固定端口 / 固定 state）；authorization_url（response_type=code + prompt=select_account +
  scope=XboxLive.signin%20offline_access）；exchange_code 复用 flow 的 oauth_error/tokens_from。
- callback：本地 HTTP/1.1 回调服务器。内核分配端口（占用按次数退避重试）；非 /auth 路径
  （favicon、预连）404 后继续等；state 不匹配 400 后继续等；error=access_denied 归 Canceled；
  单条连接读头超时 5s，半开连接拖不垮时间预算。
- MicrosoftAuth::authcode_login(present)：绑端口 → present（宿主开浏览器）→ 等回调 →
  换 token → 整链；失败与设备码流一样落 M38 失败日志。

app（crates/app）
- AppCommand::StartBrowserLogin + host::accounts::start_browser_login；设备码/授权码共用
  LoginJob 取消槽位、收尾入库（store_session）与面板 DTO。
- host::opener 用系统默认浏览器打开授权 URL（Windows rundll32 url.dll,FileProtocolHandler）。
- 账户页：主按钮「微软登录」走授权码流，「设备码登录」作备用；DeviceLoginView::browser_waiting
  在面板里给出可复制的授权链接（user_code 留空）。

测试
- crates/core/tests/auth/microsoft_authcode.rs：授权 URL 向量（租户/编码/prompt）、
  URI 一致性（授权 URL 与 token 表单同字面量）、mock 全链、favicon+陈旧 state 后仍拿到 code、
  端口占用重试文案、超时、access_denied→Canceled、login_with_xbox 403 的 M38 诊断
  （detail_code=login_with_xbox_403，真机白名单未批时验收止步于此）。
- 单测：authcode 编码/向量、callback query 解码与错误分流、DTO browser_waiting、conv 面板。

未做/未验证：真机完整登录需 Azure 公共客户端 id（ULL_MSA_CLIENT_ID）与 Minecraft API 许可，
本机只能到「授权页 302 到 login.live.com 且 redirect_uri/scope/prompt 原样保留」这一步。

AskaEth <i@yeij.top>

crates/app/src/callbacks_pages.rs

@@ -56,6 +56,14 @@ pub(crate) fn wire_pages(weak: Weak<Inner>) {
             this.sync();
         });
     }
+    {
+        let weak = weak.clone();
+        page.on_msa_browser_begin(move || {
+            let Some(this) = weak.upgrade() else { return };
+            this.dispatch(AppCommand::StartBrowserLogin);
+            this.sync();
+        });
+    }
     {
         let weak = weak.clone();
         page.on_msa_cancel(move || {

crates/app/src/conv/pages.rs

@@ -58,7 +58,7 @@ pub fn active_account_name(state: &AppState) -> String {
         .unwrap_or_else(|| "未登录".to_string())
 }
 
-/// 设备码登录面板。
+/// 微软登录面板。
 pub fn device(state: &AppState) -> UiDeviceCode {
     let view = &state.device_login;
     UiDeviceCode {

crates/app/src/conv/pages_tests.rs

@@ -35,6 +35,22 @@ fn accounts_and_device_login_render() {
     assert_eq!(device.phase_label, "等待确认");
 }
 
+#[test]
+fn browser_login_panel_renders_the_authorization_link() {
+    let mut state = AppState::new();
+    state.device_login = DeviceLoginView::browser_waiting(
+        "https://login.microsoftonline.com/consumers/oauth2/v2.0/authorize?client_id=x",
+        300,
+        None,
+    );
+    let device = device(&state);
+    assert!(device.visible && device.busy);
+    assert_eq!(device.user_code, "", "授权码流没有用户码");
+    assert!(device.verification_uri.contains("/authorize?client_id=x"));
+    assert_eq!(device.qr_link, device.verification_uri);
+    assert_eq!(device.expires, 300);
+}
+
 #[test]
 fn install_progress_renders_labels_and_terminal_flags() {
     let mut state = AppState::new();

crates/app/src/dto/accounts.rs

@@ -1,4 +1,4 @@
-//! 账户页 DTO：三条轨道的统一抽象 + 微软设备码登录的可见状态。
+//! 账户页 DTO：三条轨道的统一抽象 + 微软登录（设备码 / 授权码浏览器）的可见状态。
 //!
 //! **凭据红线**：本模块（以及整个 `crate::dto`）只有 [`AccountView`] 这种公开字段视图。
 //! `core::auth` 的 `Credentials` / `MicrosoftSession` / token 永远不进 app 层——
@@ -65,7 +65,7 @@ pub struct AccountView {
     pub active: bool,
 }
 
-/// 设备码登录阶段（UI 据此切换面板）。
+/// 微软登录阶段（UI 据此切换面板；两条流共用）。
 #[derive(Debug, Clone, Copy, PartialEq, Eq, Serialize, Deserialize)]
 pub enum DeviceLoginPhase {
     /// 没有登录在进行
@@ -160,6 +160,33 @@ impl DeviceLoginView {
         }
     }
 
+    /// 授权码流：本地回调已就绪、浏览器已拉起（`present` 回调时刻）。
+    ///
+    /// 面板不展示用户码，改展示**可复制的授权链接**（用户可能需要在另一台设备/
+    /// 另一个浏览器里手动打开）；`warning` 是「浏览器没拉起来」这类非致命提示。
+    pub fn browser_waiting(
+        authorization_url: &str,
+        expires_in: u64,
+        warning: Option<&str>,
+    ) -> Self {
+        let mut message = format!(
+            "已在系统浏览器打开微软登录页，请完成授权（{} 秒内有效）；没弹出就把下面的链接粘到浏览器里",
+            expires_in.max(1)
+        );
+        if let Some(warning) = warning {
+            message.push_str(&format!("（{warning}）"));
+        }
+        Self {
+            phase: DeviceLoginPhase::Waiting,
+            user_code: String::new(),
+            verification_uri: authorization_url.to_string(),
+            qr_link: authorization_url.to_string(),
+            expires_in,
+            message,
+            account_name: String::new(),
+        }
+    }
+
     /// 失败态。
     pub fn failed(message: impl Into<String>) -> Self {
         Self {
@@ -212,6 +239,25 @@ mod tests {
         }
     }
 
+    #[test]
+    fn browser_waiting_shows_a_copyable_link_instead_of_a_user_code() {
+        let view = DeviceLoginView::browser_waiting(
+            "https://login.microsoftonline.com/consumers/oauth2/v2.0/authorize?client_id=x",
+            300,
+            Some("拉起浏览器失败"),
+        );
+        assert_eq!(view.phase, DeviceLoginPhase::Waiting);
+        assert!(view.phase.busy());
+        assert!(view.user_code.is_empty(), "授权码流没有用户码");
+        assert_eq!(view.qr_link, view.verification_uri);
+        assert!(view.message.contains("浏览器"));
+        assert!(view.message.contains("拉起浏览器失败"), "{}", view.message);
+        let json = serde_json::to_string(&view).expect("序列化");
+        for forbidden in ["refresh", "mc-access"] {
+            assert!(!json.contains(forbidden), "视图里不该出现 {forbidden}");
+        }
+    }
+
     #[test]
     fn succeeded_and_failed_clear_the_code() {
         let ok = DeviceLoginView::succeeded("Steve");

crates/app/src/dto/events.rs

@@ -65,7 +65,7 @@ pub enum CoreEvent {
     DiagnosisReady(DiagnosisReport),
     /// 账户列表刷新
     AccountsChanged(Vec<AccountView>),
-    /// 设备码登录状态刷新
+    /// 微软登录状态刷新
     DeviceLoginChanged(DeviceLoginView),
     /// Java 页快照（发行版/回退链/运行时）
     JavaChanged(JavaPageView),
@@ -129,9 +129,11 @@ pub enum AppCommand {
     RemoveAccount(String),
     /// 切换当前启动账户
     SwitchAccount(String),
-    /// 开始微软设备码登录
+    /// 开始微软设备码登录（CLI/无浏览器场景、备用通道）
     StartDeviceLogin,
-    /// 取消/关掉设备码登录面板（已发出的请求会在收尾时丢弃结果）
+    /// 开始微软授权码登录（拉起系统默认浏览器 + 本地回调，GUI 的默认入口）
+    StartBrowserLogin,
+    /// 取消/关掉微软登录面板（已发出的请求会在收尾时丢弃结果）
     CancelDeviceLogin,
     /// 安装指定发行版的托管 JDK（`temurin` / `oracle` / `microsoft` / `zulu`）
     InstallJava(String),

crates/app/src/host/accounts.rs

@@ -1,24 +1,29 @@
-//! 账户：三轨统一列表（只读公开字段）+ 离线新增 + 删除/切换 + 微软设备码登录。
+//! 账户：三轨统一列表（只读公开字段）+ 离线新增 + 删除/切换 + 微软登录（两条流）。
 //!
 //! 凭据红线（D9）：`Credentials` / `MicrosoftSession` 只在本模块与 `launch.rs` 里出现，
-//! 出口一律是 [`AccountView`] / [`DeviceLoginView`]。设备码本身不是凭据，可以直接展示。
+//! 出口一律是 [`AccountView`] / [`DeviceLoginView`]。
 //!
-//! 取消语义：设备码轮询跑在 `core` 里、没有取消钩子，所以取消只把面板收回；线程收尾时
+//! 两条登录流：授权码（[`start_browser_login`]，GUI 默认：拉起系统浏览器 + 本地回调，
+//! `research/08` §3 方案 A）与设备码（[`start_login`]，无浏览器/CLI 场景）。除了「怎么拿到
+//! MS access_token」之外完全共用：同一个取消槽位、同一段账户入库、同一个刷新链。
+//!
+//! 取消语义：轮询/等回调都跑在 `core` 里、没有取消钩子，所以取消只把面板收回；线程收尾时
 //! 若发现「已取消」就不入库（避免用户点了取消却凭空多出一个账户）。
 
 use std::sync::atomic::{AtomicBool, Ordering};
 use std::sync::Arc;
 
 use unlucky_core::auth::account::Credentials;
-use unlucky_core::auth::microsoft::{now_ms, MicrosoftAuth};
+use unlucky_core::auth::microsoft::{now_ms, MicrosoftAuth, MicrosoftSession};
 use unlucky_core::auth::offline::offline_meta;
-use unlucky_core::auth::AccountStore;
+use unlucky_core::auth::{AccountStore, AuthResult};
 use unlucky_core::download::blocking::block_on;
 
 use crate::dto::{AccountKind, AccountView, DeviceLoginView};
 
 use super::env::HostEnv;
 use super::job::{spawn, HostTask, JobSender};
+use super::opener;
 
 /// 账户列表（公开字段）。
 pub fn accounts(env: &HostEnv, active: Option<&str>) -> Vec<AccountView> {
@@ -103,7 +108,7 @@ pub fn remove(env: &HostEnv, key: &str) -> Result<String, String> {
     Ok(meta.display_name().to_string())
 }
 
-/// 设备码登录任务句柄（取消标志 + 账户名回执）。
+/// 微软登录任务句柄（取消标志 + 账户名回执；两条流共用）。
 #[derive(Debug, Clone, Default)]
 pub struct LoginJob {
     /// 用户点了取消（线程收尾时据此丢弃结果）
@@ -132,16 +137,9 @@ impl LoginJob {
 /// 起一次设备码登录（后台线程；`present` 时刻发 Waiting 事件）。
 pub fn start_login(env: HostEnv, tx: JobSender, job: LoginJob) {
     spawn("msa-login", move || {
-        let auth = match MicrosoftAuth::from_env() {
-            Ok(auth) => auth.with_journal(Some(unlucky_core::auth::AuthJournal::in_logs_dir(
-                env.layout.logs(),
-            ))),
-            Err(error) => {
-                let _ = tx.send(HostTask::Login(Box::new(DeviceLoginView::failed(
-                    error.to_string(),
-                ))));
-                return;
-            }
+        let auth = match microsoft_auth(&env) {
+            Ok(auth) => auth,
+            Err(message) => return fail(&tx, message),
         };
         let tx_prompt = tx.clone();
         let result = block_on(auth.device_code_login(|prompt| {
@@ -152,45 +150,84 @@ pub fn start_login(env: HostEnv, tx: JobSender, job: LoginJob) {
                 &format!("{}#{}", prompt.verification_uri, prompt.user_code),
             ))));
         }));
-        if job.is_cancelled() {
-            let _ = tx.send(HostTask::Login(Box::default()));
-            return;
-        }
-        match result {
-            Ok(session) => {
-                let meta = unlucky_core::auth::account::AccountMeta::new(
-                    unlucky_core::auth::account::AccountKind::Microsoft,
-                    session.profile_id.clone(),
-                    session.profile_name.clone(),
-                    now_ms(),
-                );
-                let name = meta.display_name().to_string();
-                let mut store = AccountStore::open(env.layout.auth_data());
-                let saved = store
-                    .insert(meta, Credentials::Microsoft(session))
-                    .and_then(|()| store.save());
-                match saved {
-                    Ok(()) => {
-                        let _ =
-                            tx.send(HostTask::Login(Box::new(DeviceLoginView::succeeded(&name))));
-                        let _ = tx.send(HostTask::Accounts(accounts(&env, None)));
-                    }
-                    Err(error) => {
-                        let _ = tx.send(HostTask::Login(Box::new(DeviceLoginView::failed(
-                            format!("账户入库失败：{error}"),
-                        ))));
-                    }
-                }
-            }
-            Err(error) => {
-                let _ = tx.send(HostTask::Login(Box::new(DeviceLoginView::failed(
-                    error.to_string(),
-                ))));
-            }
-        }
+        finish(&env, &tx, &job, result);
     });
 }
 
+/// 起一次授权码登录（后台线程：绑本地端口 → 拉起系统默认浏览器 → 等回调 → 换链）。
+///
+/// 与设备码流共用同一个 [`LoginJob`] 取消槽位、同一段账户入库逻辑，所以两条流的
+/// 凭据/刷新语义完全一致（`core` 侧也共用 [`unlucky_core::auth::MicrosoftSession`]）。
+pub fn start_browser_login(env: HostEnv, tx: JobSender, job: LoginJob) {
+    spawn("msa-authcode", move || {
+        let auth = match microsoft_auth(&env) {
+            Ok(auth) => auth,
+            Err(message) => return fail(&tx, message),
+        };
+        let tx_prompt = tx.clone();
+        let result = block_on(auth.authcode_login(|prompt| {
+            // 浏览器拉不起来不是致命错误：面板里还有可复制的授权链接。
+            let opened = opener::open_url(&prompt.authorization_url);
+            let _ = tx_prompt.send(HostTask::Login(Box::new(DeviceLoginView::browser_waiting(
+                &prompt.authorization_url,
+                prompt.timeout.as_secs(),
+                opened.err().as_deref(),
+            ))));
+        }));
+        finish(&env, &tx, &job, result);
+    });
+}
+
+/// 生产入口的 `MicrosoftAuth`：client id 取环境/构建期，失败日志落 `<数据根>/logs/`。
+fn microsoft_auth(env: &HostEnv) -> Result<MicrosoftAuth, String> {
+    MicrosoftAuth::from_env()
+        .map(|auth| {
+            auth.with_journal(Some(unlucky_core::auth::AuthJournal::in_logs_dir(
+                env.layout.logs(),
+            )))
+        })
+        .map_err(|error| error.to_string())
+}
+
+fn fail(tx: &JobSender, message: String) {
+    let _ = tx.send(HostTask::Login(Box::new(DeviceLoginView::failed(message))));
+}
+
+/// 收尾：取消就吞掉结果；成功入库；失败带 core 的诊断文案（M38 的 403 也走这条）。
+fn finish(env: &HostEnv, tx: &JobSender, job: &LoginJob, result: AuthResult<MicrosoftSession>) {
+    if job.is_cancelled() {
+        let _ = tx.send(HostTask::Login(Box::default()));
+        return;
+    }
+    match result {
+        Ok(session) => match store_session(env, session) {
+            Ok(name) => {
+                let _ = tx.send(HostTask::Login(Box::new(DeviceLoginView::succeeded(&name))));
+                let _ = tx.send(HostTask::Accounts(accounts(env, None)));
+            }
+            Err(message) => fail(tx, message),
+        },
+        Err(error) => fail(tx, error.to_string()),
+    }
+}
+
+/// 微软会话入库（元数据 + 凭据分文件，见 `core::auth::AccountStore`）。
+fn store_session(env: &HostEnv, session: MicrosoftSession) -> Result<String, String> {
+    let meta = unlucky_core::auth::account::AccountMeta::new(
+        unlucky_core::auth::account::AccountKind::Microsoft,
+        session.profile_id.clone(),
+        session.profile_name.clone(),
+        now_ms(),
+    );
+    let name = meta.display_name().to_string();
+    let mut store = AccountStore::open(env.layout.auth_data());
+    store
+        .insert(meta, Credentials::Microsoft(session))
+        .and_then(|()| store.save())
+        .map_err(|error| format!("账户入库失败：{error}"))?;
+    Ok(name)
+}
+
 #[cfg(test)]
 mod tests {
     use super::*;

crates/app/src/host/dispatch.rs

@@ -109,6 +109,16 @@ impl CoreHost {
                 }));
                 accounts::start_login(self.env.clone(), self.tx.clone(), job);
             }
+            AppCommand::StartBrowserLogin => {
+                self.login = Some(LoginJob::new());
+                let job = self.login.clone().unwrap_or_default();
+                self.send(CoreEvent::DeviceLoginChanged(crate::dto::DeviceLoginView {
+                    phase: crate::dto::DeviceLoginPhase::Requesting,
+                    message: "正在准备浏览器登录（本地回调端口）…".to_string(),
+                    ..crate::dto::DeviceLoginView::new()
+                }));
+                accounts::start_browser_login(self.env.clone(), self.tx.clone(), job);
+            }
             AppCommand::CancelDeviceLogin => {
                 if let Some(job) = &self.login {
                     job.cancel();

crates/app/src/host/mod.rs

@@ -25,6 +25,7 @@ mod job;
 mod launch;
 mod logs;
 mod meter;
+mod opener;
 mod settings;
 mod versions;
 

crates/app/src/host/opener.rs

@@ -0,0 +1,72 @@
+//! 用系统默认浏览器打开授权 URL（授权码流唯一需要宿主做的事）。
+//!
+//! core 只负责拼授权 URL 与等本地回调（`core::auth::microsoft::authcode`）；
+//! 「谁来打开浏览器」是宿主的决定：GUI 走这里，CLI/无浏览器场景仍用设备码流。
+//!
+//! 平台差异收在 [`launcher`] 一处，不往业务代码里散写 `cfg` 补丁（`AGENTS.md` §7）。
+
+use std::process::Command;
+
+/// 拉起系统默认浏览器打开 `url`（只接受 http/https）。
+///
+/// 不等待浏览器退出：用户可能在浏览器里停留几分钟，宿主只关心「有没有拉起来」。
+///
+/// # Errors
+///
+/// URL 不是 http/https，或进程拉不起来时返回用户可读文案。
+pub fn open_url(url: &str) -> Result<(), String> {
+    if !url.starts_with("https://") && !url.starts_with("http://") {
+        return Err(format!("不是可打开的网址：{url}"));
+    }
+    let (program, args) = launcher(url);
+    Command::new(program)
+        .args(args)
+        .spawn()
+        .map(|_child| ())
+        .map_err(|error| format!("拉起浏览器失败（{program}）：{error}"))
+}
+
+#[cfg(target_os = "windows")]
+fn launcher(url: &str) -> (&'static str, Vec<String>) {
+    // `rundll32` 不用 shell，URL 里的 `&` 不会被当成命令分隔符（`cmd /C start` 会）。
+    (
+        "rundll32",
+        vec!["url.dll,FileProtocolHandler".to_string(), url.to_string()],
+    )
+}
+
+#[cfg(target_os = "macos")]
+fn launcher(url: &str) -> (&'static str, Vec<String>) {
+    ("open", vec![url.to_string()])
+}
+
+#[cfg(not(any(target_os = "windows", target_os = "macos")))]
+fn launcher(url: &str) -> (&'static str, Vec<String>) {
+    ("xdg-open", vec![url.to_string()])
+}
+
+#[cfg(test)]
+mod tests {
+    use super::{launcher, open_url};
+
+    #[test]
+    fn rejects_non_http_urls() {
+        assert!(open_url("javascript:alert(1)").is_err());
+        assert!(open_url("").is_err());
+        // 合法 URL 只验命令形态，不在单测里真去拉浏览器。
+        let (program, args) = launcher("http://localhost:1234/auth?code=a&state=b");
+        assert!(!program.is_empty());
+        assert!(args
+            .iter()
+            .any(|arg| arg.contains("http://localhost:1234/auth")));
+    }
+
+    #[cfg(target_os = "windows")]
+    #[test]
+    fn windows_uses_the_file_protocol_handler() {
+        let (program, args) = launcher("https://example.invalid/");
+        assert_eq!(program, "rundll32");
+        assert_eq!(args[0], "url.dll,FileProtocolHandler");
+        assert_eq!(args[1], "https://example.invalid/");
+    }
+}

crates/app/src/state.rs

@@ -113,7 +113,7 @@ pub struct AppState {
     pub download_query: String,
     /// 账户列表（三轨统一视图；凭据不在其中）
     pub accounts: Vec<AccountView>,
-    /// 微软设备码登录状态
+    /// 微软登录状态
     pub device_login: DeviceLoginView,
     /// Java 页快照（发行版 / 回退链 / 运行时）
     pub java: JavaPageView,