feat(core): 加 MSA 授权码流（本地回调服务器）并接到账户页

research/08 方案 A：GUI 的微软登录改走授权码流（HMCL 主流做法），设备码流保留给
CLI/无浏览器场景。两条流只差「怎么拿到 MS access_token」，拿到之后共用
chain::complete_chain 与 MicrosoftSession，落盘/刷新语义没有第二套。

core（crates/core/src/auth/microsoft/）
- endpoints：新增 authorize（…/consumers/oauth2/v2.0/authorize），与 token 同租户。
- authcode：RedirectUri 是 http://localhost:{port}/auth 的唯一来源（授权 URL、
  token 请求体、实际监听三处共用，坑 5）；AuthCodePolicy（回调超时 300s / 绑定重试 3 次 /
  固定端口 / 固定 state）；authorization_url（response_type=code + prompt=select_account +
  scope=XboxLive.signin%20offline_access）；exchange_code 复用 flow 的 oauth_error/tokens_from。
- callback：本地 HTTP/1.1 回调服务器。内核分配端口（占用按次数退避重试）；非 /auth 路径
  （favicon、预连）404 后继续等；state 不匹配 400 后继续等；error=access_denied 归 Canceled；
  单条连接读头超时 5s，半开连接拖不垮时间预算。
- MicrosoftAuth::authcode_login(present)：绑端口 → present（宿主开浏览器）→ 等回调 →
  换 token → 整链；失败与设备码流一样落 M38 失败日志。

app（crates/app）
- AppCommand::StartBrowserLogin + host::accounts::start_browser_login；设备码/授权码共用
  LoginJob 取消槽位、收尾入库（store_session）与面板 DTO。
- host::opener 用系统默认浏览器打开授权 URL（Windows rundll32 url.dll,FileProtocolHandler）。
- 账户页：主按钮「微软登录」走授权码流，「设备码登录」作备用；DeviceLoginView::browser_waiting
  在面板里给出可复制的授权链接（user_code 留空）。

测试
- crates/core/tests/auth/microsoft_authcode.rs：授权 URL 向量（租户/编码/prompt）、
  URI 一致性（授权 URL 与 token 表单同字面量）、mock 全链、favicon+陈旧 state 后仍拿到 code、
  端口占用重试文案、超时、access_denied→Canceled、login_with_xbox 403 的 M38 诊断
  （detail_code=login_with_xbox_403，真机白名单未批时验收止步于此）。
- 单测：authcode 编码/向量、callback query 解码与错误分流、DTO browser_waiting、conv 面板。

未做/未验证：真机完整登录需 Azure 公共客户端 id（ULL_MSA_CLIENT_ID）与 Minecraft API 许可，
本机只能到「授权页 302 到 login.live.com 且 redirect_uri/scope/prompt 原样保留」这一步。

AskaEth <i@yeij.top>

crates/app/ui/models.slint

@@ -238,7 +238,7 @@ export struct UiAccount {
     active: bool,
 }
 
-/// 设备码登录面板（用户码/链接不是凭据，可直接展示）。
+/// 微软登录面板（用户码 / 授权链接都不是凭据，可直接展示）。
 export struct UiDeviceCode {
     visible: bool,
     busy: bool,

crates/app/ui/page_state.slint

@@ -45,6 +45,7 @@ export global PageState {
     callback account-remove(string);
     callback account-switch(string);
     callback msa-begin();
+    callback msa-browser-begin();
     callback msa-cancel();
 
     // ── Java ──────────────────────────────────────────────────

crates/app/ui/pages/settings-account.slint

@@ -1,4 +1,4 @@
-// 设置 → 账户（D9 / G6）：三轨账户列表 + 离线添加 + 微软设备码登录 + 删除/切换。
+// 设置 → 账户（D9 / G6）：三轨账户列表 + 离线添加 + 微软登录（授权码浏览器 / 设备码）+ 删除/切换。
 //
 // 凭据红线：这里能看到的只有「名字 / 轨道 / 公开 UUID / 登录名 / 创建时间」——
 // token 与密码永远不进 UI（Rust 侧的 AccountView 不含这些字段）。
@@ -72,7 +72,7 @@ export component AccountSection inherits Rectangle {
     background: transparent;
 
     VerticalLayout {
-        // 设备码登录面板（Waiting 时显示用户码 + 链接；失败显示原因）
+        // 微软登录面板（设备码显示用户码；授权码显示可复制的授权链接；失败显示原因）
         if PageState.device.visible : Rectangle {
             height: PageState.device.busy ? 96px : 84px;
             background: PageState.device.phase_label == "失败" ? Theme.state-danger-soft : Theme.accent-soft;
@@ -148,15 +148,22 @@ export component AccountSection inherits Rectangle {
                 placeholder: "玩家名（离线 UUID 自动生成）";
             }
             MetroButton {
-                kind: ButtonKind.accent;
+                kind: ButtonKind.standard;
                 text: "添加离线";
                 button-height: 28px;
                 enabled: PageState.offline-name != "";
                 clicked => { PageState.account-add-offline(PageState.offline-name); }
             }
             MetroButton {
-                kind: ButtonKind.standard;
-                text: "微软登录（设备码）";
+                kind: ButtonKind.accent;
+                text: "微软登录";
+                button-height: 28px;
+                enabled: !PageState.device.busy;
+                clicked => { PageState.msa-browser-begin(); }
+            }
+            MetroButton {
+                kind: ButtonKind.subtle;
+                text: "设备码登录";
                 button-height: 28px;
                 enabled: !PageState.device.busy;
                 clicked => { PageState.msa-begin(); }