fix(msa): 浏览器登录按钮在生产路径真的置位 browser_first（复审 r1 收口）

复审 r1 的 P1-1：「用浏览器登录」这颗按钮在生产二进制里是哑的——`start_browser_login` 用的是
共享的 `MicrosoftAuth::from_env()`（`browser_first=false`），于是 `browser_then_device_login`
里整段预检 / 回退 / 说明编排不执行，按钮静默退化成设备码，任务③（authcode 可选加速路）
实际未交付。

- P1-1：入口改成 `msa_auth(env, MsaEntry::{DeviceCode,Browser})`，浏览器入口走
  `.with_browser_first(true)`。守卫钉两段：①调用点（按 `LoginJob` 分桶记下生产入口实际请求的
  模式，避开同进程并发用例串台）②模式真的落到 `MicrosoftAuth::browser_first`。变异实测：
  把浏览器入口改回 `DeviceCode` ⇒ 该用例红。核心侧另有报文级证据：浏览器优先路必然对
  `/authorize` 发一次预检（`unregistered_redirect_falls_back_to_the_device_code` 断言 GET 计数 == 1）。
- P2-1：`listeners_opened` 改成**绑定现场**计数——`CallbackServer::bind_counting` 在
  `TcpListener::bind` 前 +1，`login_counting` 把 per-login 的 `AtomicUsize` 传下去；
  删掉「进了授权码分支就记 1」的代理指标。复做变异（预检之前偷绑一个监听口）⇒ 3 条
  msalogin 用例红，包括两条 `listeners_opened == 0`。两处 stale 文档（引用不存在的
  `callback::bind_attempts()`）改成引用 `listeners_opened` / `bind_counting`。
- P2-2：预检加整体 deadline（10s，`PREFLIGHT_TIMEOUT`），超时归 `PreflightUnavailable` 并
  回退设备码；新增「接了连接却不出响应」的假服务器单测（200ms deadline 内必须收场）。
  （下载引擎的 HTTP 客户端只设了 connect_timeout，这条兜住「header 之后停住」。）
- P2-3：client_id 守卫加严到三种拼法（`concat!` / 跨行两段 / `format!` 逐段拼），做法是
  「先收字符串字面量再拼」+「连续纯 hex 字面量累计 ≥32 且 ≥2 段」，并跳过注释（否则本模块
  文档里的示例会自指假红）；每条一个自检向量，且不误杀 `session.rs` 的 profile UUID。
- P2-4：页面级断言补中文（`Lang::ZhCn` 走 `Page::build`），并把回退说明的文案出口收敛成
  视图自己的 `login::browser_note_text`（视图与取样共用，不再测试另写一份映射）。
- P2-5：主按钮文案改成「使用 Microsoft 账户登录」/「Sign in with your Microsoft account」，
  下面补一行「浏览器打不开就用这个：它会给一串用户码，在任何设备上输入即可。」。

门禁：`cargo fmt --check`、`cargo clippy --workspace --all-targets -- -D warnings`、
`cargo test --workspace --all-targets`（51 个 test 目标全绿）通过；`client_id.rs` 的判据拆到
`client_id/tests.rs` 守 400 行红线。截图三张（入口 / 设备码 / 回退）已重出。

crates/core/src/auth/microsoft/authcode.rs

@@ -173,11 +173,28 @@ pub(crate) async fn login<F>(
     policy: AuthCodePolicy,
     present: F,
 ) -> AuthResult<MicrosoftSession>
+where
+    F: FnOnce(&AuthCodePrompt),
+{
+    login_counting(client, endpoints, client_id, policy, None, present).await
+}
+
+/// 同 [`login`]，但把**绑定现场**的监听口次数记进 `counter`（M178 的取证计数）。
+pub(crate) async fn login_counting<F>(
+    client: &Client,
+    endpoints: &MicrosoftEndpoints,
+    client_id: &str,
+    policy: AuthCodePolicy,
+    counter: Option<&std::sync::atomic::AtomicUsize>,
+    present: F,
+) -> AuthResult<MicrosoftSession>
 where
     F: FnOnce(&AuthCodePrompt),
 {
     let state = policy.state.clone().unwrap_or_else(nonce);
-    let server = CallbackServer::bind(policy.port, policy.bind_attempts, state.clone()).await?;
+    let server =
+        CallbackServer::bind_counting(policy.port, policy.bind_attempts, state.clone(), counter)
+            .await?;
     let redirect_uri = RedirectUri::new(server.port());
     present(&AuthCodePrompt {
         authorization_url: authorization_url(endpoints, client_id, &redirect_uri, &state),
@@ -206,14 +223,15 @@ pub(crate) enum AuthCodeAttempt {
 
 /// 带预检的授权码登录：注册里有这个回环 URI 才真去绑端口、弹浏览器。
 ///
-/// 顺序是刻意的——**预检在绑定之前**：没登记的机器上连监听口都不开（守卫断言
-/// [`super::callback::bind_attempts`] 不涨），也就不会出现「浏览器里一张 AAD 错误页 +
+/// 顺序是刻意的——**预检在绑定之前**：没登记的机器上连监听口都不开（`counter` 是绑定现场的
+/// 真计数，见 [`CallbackServer::bind_counting`]），也就不会出现「浏览器里一张 AAD 错误页 +
 /// 启动器干等 5 分钟」的那套现象（M178 用户实测的那个 bug）。
 pub(crate) async fn login_checked<F>(
     client: &Client,
     endpoints: &MicrosoftEndpoints,
     client_id: &str,
     policy: AuthCodePolicy,
+    counter: &std::sync::atomic::AtomicUsize,
     present: F,
 ) -> AuthResult<AuthCodeAttempt>
 where
@@ -235,7 +253,8 @@ where
             )))
         }
     }
-    let session = login(client, endpoints, client_id, policy, present).await?;
+    let session =
+        login_counting(client, endpoints, client_id, policy, Some(counter), present).await?;
     Ok(AuthCodeAttempt::LoggedIn(session))
 }