fix(msa): 微软登录默认走设备码，浏览器流降级为可选加速路

官方产物上点「微软登录」必失败：GUI 只接了授权码流（随机端口回环回调），而 Azure 应用
注册当初是为 device-code 建的，重定向 URI 一项都没登记，于是授权端点当场回
`invalid_request: ... 'redirect_uri' is not valid`，浏览器里只剩一张 AAD 原始错误页，
启动器干等 5 分钟超时。设备码流本身是好的（CLI `accounts add msa` 一直能用）。

- core：新增 `preflight`（回环重定向 URI 注册预检）与 `login`（浏览器优先 + 自动回退设备码）。
  预检拿「即将使用的 redirect_uri」（端口不参与匹配，微软官方文档 *Localhost exceptions*
  原文已引进模块文档）先问一次授权端点；没登记 / 问不出来就地跳过，**一个监听口都不开**。
  预检通过才真绑端口走授权码；授权码失败（超时/被拒/绑不上）自动回退设备码并带上结构化
  原因码；用户取消（`Canceled`）原样上抛，不偷偷换流。设备码是默认，零监听口。
- presenter：`start_login` = 设备码（默认）；`start_browser_login` = 浏览器优先 + 回退，
  回退原因码写进 `DeviceLoginView.browser_note`（原文只进日志）。
- i18n：三条回退文案（含「怎么修：把 http://localhost/auth 加进重定向 URI，端口不参与匹配」）。
- app-iced：登录面板主按钮改成设备码、浏览器降级为次按钮；重登也走设备码；设备码面板与失败
  面板都能画回退说明。倒计时文案改由视图模型持有（借用渲染），顺带修掉中文倒计时整行不显示。
- 守卫（都能变红）：①授权端点回 invalid_request 时确实回退设备码且原因是结构化码；
  ②未登记回环 / 默认设备码路 `listeners_opened == 0`；③回环登记了仍能走授权码（不焊死加速路）；
  ④用户取消不被偷偷换流；⑤client id 仍只能构建期注入（扫 `auth/microsoft/` 源码无 UUID 字面量）。

crates/core/src/auth/microsoft/authcode.rs

@@ -29,7 +29,9 @@ use super::chain::complete_chain;
 use super::endpoints::MicrosoftEndpoints;
 use super::flow::{oauth_error, tokens_from, OAuthTokens, SCOPE};
 use super::now_ms;
+use super::preflight::{self, RedirectRegistration};
 use super::session::MicrosoftSession;
+use super::{BrowserFallback, BrowserFallbackReason};
 
 /// 授权码 grant 类型。
 pub const AUTHORIZATION_CODE_GRANT: &str = "authorization_code";
@@ -194,6 +196,49 @@ where
     complete_chain(client, endpoints, tokens, now_ms()).await
 }
 
+/// 一次「浏览器优先」尝试的结果（M178）。
+pub(crate) enum AuthCodeAttempt {
+    /// 授权码流走通（凭据已换到，整链完成）。
+    LoggedIn(MicrosoftSession),
+    /// **没去试**：预检说这个回环 URI 没登记（或问不出来）。监听端口一次都没开。
+    Skipped(BrowserFallback),
+}
+
+/// 带预检的授权码登录：注册里有这个回环 URI 才真去绑端口、弹浏览器。
+///
+/// 顺序是刻意的——**预检在绑定之前**：没登记的机器上连监听口都不开（守卫断言
+/// [`super::callback::bind_attempts`] 不涨），也就不会出现「浏览器里一张 AAD 错误页 +
+/// 启动器干等 5 分钟」的那套现象（M178 用户实测的那个 bug）。
+pub(crate) async fn login_checked<F>(
+    client: &Client,
+    endpoints: &MicrosoftEndpoints,
+    client_id: &str,
+    policy: AuthCodePolicy,
+    present: F,
+) -> AuthResult<AuthCodeAttempt>
+where
+    F: FnOnce(&AuthCodePrompt),
+{
+    let probe = RedirectUri::new(preflight::PROBE_PORT);
+    match preflight::check(client, endpoints, client_id, &probe).await {
+        RedirectRegistration::Registered => {}
+        RedirectRegistration::NotRegistered { detail } => {
+            return Ok(AuthCodeAttempt::Skipped(BrowserFallback::new(
+                BrowserFallbackReason::RedirectNotRegistered,
+                detail,
+            )))
+        }
+        RedirectRegistration::Unknown { detail } => {
+            return Ok(AuthCodeAttempt::Skipped(BrowserFallback::new(
+                BrowserFallbackReason::PreflightUnavailable,
+                detail,
+            )))
+        }
+    }
+    let session = login(client, endpoints, client_id, policy, present).await?;
+    Ok(AuthCodeAttempt::LoggedIn(session))
+}
+
 /// 每次登录一个 `state`（不用于加密，只用来把迟到的旧回调挡掉）。
 ///
 /// 128 位（两个独立随机种子的 SipHash 输出拼接）：RFC 6749 §10.10 建议 `state` 至少