feat: v0.12.0 —— 表格每行绝对等高 + 管理 WebUI（2FA 绑定才能进入）

① 每行绝对等高
- 行高与内容长度彻底解耦：新增 --row-h: 72px 作为唯一基准
- 名称列改为「文本区限两行 + 徽标区固定单行」两段式；文本区用 .clamp2
- 关键点：必须用 height 而非 max-height —— 后者会让短内容缩成一行、
  长内容撑到两行，反而产生 66px/71px 两种行高（实测踩过）
- 分组标题行用 :not(.group-row) 排除在数据行规则之外
- 事件表与监控表格共用同一个 --row-h，两张表视觉上也严格对齐
- 完整值仍可通过悬停 title 查看（已加断言强制所有截断单元格带 title）
- 卡片视图同样等高（13 视口 × 250px 全一致）

② 管理 WebUI + 2FA
- 新增 /admin 与 /api/admin/*；未绑定 2FA 时除绑定流程外一律 403
- 零依赖实现 TOTP（RFC 6238），用 RFC 4226/6238 官方测试向量验证（16 个向量）
- 内置 QR 码生成器（byte 模式 / ECC L / 版本 1-10，GF(256) RS 纠错 + 掩码评分），
  用独立解码器实测：版本 1 与版本 6 均能读出逐字节一致的内容
- 绑定流程：口令 → 生成密钥（扫码/手输/otpauth 链接）→ 验证 6 位码 → 10 枚恢复码；
  完成后凭本次验证码直接换取会话
- 安全：会话 id 32 字节随机数且服务端只存哈希；HttpOnly+SameSite=Strict；
  30 分钟空闲/2 小时最长；同时间步的码防重放；恢复码一次性；
  登录失败按 IP 指数退避锁定；不解析 X-Forwarded-For
- 管理功能：运行状态、探测范围、展示口径、维护窗口增删、立即重探、通知自检、
  目标只读列表、最近事件
- 所有写操作只落 local.monitors.json（私有不入库），绝不改 public/monitors.json

过程中修掉三个真 bug：
1. 会话 cookie 的 Path=/admin 覆盖不到 /api/admin/*，登录 200 但后续全部 401
2. 恢复码登录被 verifyTotp 的 invalid-format 提前挡掉（恢复码非 6 位数字）
3. 超大请求体用 req.destroy() 硬断连接，客户端只看到 fetch failed 拿不到状态码

测试：新增 scripts/verify-admin.cjs（102 项），全项目共 7 套 274 项全部通过

scripts/verify-views.cjs

@@ -300,13 +300,13 @@ async function main() {
     const dt = await dp.evaluate(() => document.querySelector('tr[data-status] .t-uptime')?.title ?? '');
     check('表格可用率 tooltip 含 90 天日均延迟', /90 天日均延迟 \d+ ms/.test(dt), dt.slice(0, 60));
 
-    // 行高一致性要在「内容长度相当」的前提下检查：先把配置里的名称统一成等长短名
-    // （注意：名称来自 monitors.json，不是 status.json），再单独注入超长内容验证不截断
+    // ---- 行高一致性：先在「内容等长」下取基准 ----
+    // 注意：名称来自 monitors.json，不是 status.json（改错文件会假通过）
     const statusPath = path.join(tmpDir, 'status.json');
     const snap = JSON.parse(fs.readFileSync(statusPath, 'utf8'));
     const cfgPath2 = path.join(tmpDir, 'monitors.json');
     const cfgJson = JSON.parse(fs.readFileSync(cfgPath2, 'utf8'));
-    let ids = Object.keys(snap.monitors);
+    const ids = Object.keys(snap.monitors);
     cfgJson.monitors.forEach((m, i) => { m.name = `目标 ${i + 1}`; });
     fs.writeFileSync(cfgPath2, `${JSON.stringify(cfgJson, null, 2)}\n`);
     await dp.goto('http://localhost:8894/?source=static&view=table', { waitUntil: 'domcontentloaded' });
@@ -317,27 +317,39 @@ async function main() {
       return { hs, unique: [...new Set(hs)] };
     });
     check('内容等长时表格各行等高（可用率条不再撑高行）', heights.unique.length === 1, `行高 ${heights.unique.join('/')}（共 ${heights.hs.length} 行）`);
+    const baseRowH = heights.unique[0] ?? 0;
+    const groupHs = await dp.evaluate(() => [...new Set([...document.querySelectorAll('table.monitor-table tbody tr.group-row')].map((tr) => Math.round(tr.getBoundingClientRect().height)))]);
+    check('分组标题行自身等高且不与数据行混淆', groupHs.length === 1 && groupHs[0] !== baseRowH, `分组行高 ${groupHs.join('/')}，数据行 ${baseRowH}px`);
 
-    // ---- 极端内容：表格不得把数据截断，同时不得出现横向滚动 ----
+    // ---- 极端内容：行高仍须完全一致，且不得出现横向滚动 ----
+    // 注入超长名称与超长地址（外加一条超长事件详情），要求行高与基准逐像素相同
     let injected = 0;
-    for (const id of ids.slice(0, 2)) {
-      const m = cfgJson.monitors.find((x) => x.id === id);
-      if (m) { m.name = `这是一个相当长的监控目标名称用于验证表格完整显示-${id}`; injected++; }
-    }
+    cfgJson.monitors.forEach((m, i) => {
+      if (i % 3 === 0) { m.name = `这是一个相当长的监控目标名称用于验证绝对等高-${'X'.repeat(40)}-${m.id}`; injected++; }
+      if (i % 3 === 1) { m.url = `https://very-long-subdomain.example.com/${'segment/'.repeat(12)}?q=${'y'.repeat(30)}`; injected++; }
+    });
     fs.writeFileSync(cfgPath2, `${JSON.stringify(cfgJson, null, 2)}\n`);
-    // 注入事件，验证事件区块的时间线样式与折叠
+    // 注入事件，验证事件区块的时间线样式、折叠与等高
     snap.events = Array.from({ length: 12 }, (_, i) => ({
       t: new Date(Date.now() - i * 60000).toISOString(),
       id: ids[0],
-      name: snap.monitors[ids[0]].name,
+      name: i % 2 ? `事件目标-${'长'.repeat(50)}` : (snap.monitors[ids[0]]?.name ?? 'x'),
       type: i % 2 ? 'down' : 'up',
-      detail: i % 2 ? 'ETIMEDOUT' : '已恢复',
+      detail: i % 2 ? `connect ETIMEDOUT ${'203.0.113.'.repeat(6)}` : '已恢复',
       maintenance: false,
     }));
     fs.writeFileSync(statusPath, JSON.stringify(snap));
     await dp.goto('http://localhost:8894/?source=static&view=table', { waitUntil: 'domcontentloaded' });
     await dp.waitForSelector('table.monitor-table tbody tr[data-status]', { timeout: 20000 });
     await dp.waitForTimeout(900);
+    // 极端内容下的行高必须与等长内容下逐像素相同
+    const eqLong = await dp.evaluate(() => {
+      const hs = [...document.querySelectorAll('table.monitor-table tbody tr[data-status]')].map((tr) => Math.round(tr.getBoundingClientRect().height));
+      const ev = [...document.querySelectorAll('.events-table tbody tr')].map((tr) => Math.round(tr.getBoundingClientRect().height));
+      return { hs, hsU: [...new Set(hs)], ev, evU: [...new Set(ev)] };
+    });
+    check('极端内容下表格各行仍绝对等高（与等长内容逐像素相同）', eqLong.hsU.length === 1 && eqLong.hsU[0] === baseRowH, `行高 ${eqLong.hsU.join('/')}，基准 ${baseRowH}px（注入 ${injected} 条长内容，共 ${eqLong.hs.length} 行）`);
+    check('极端内容下事件表各行等高且与监控表格一致', eqLong.evU.length === 1 && eqLong.evU[0] === baseRowH, `事件行高 ${eqLong.evU.join('/')}`);
     const clip = await dp.evaluate(() => {
       let clipped = 0;
       let worst = 0;
@@ -350,8 +362,28 @@ async function main() {
       const wrap = document.querySelector('.table-wrap');
       return { clipped, worst, pageOverflow: document.documentElement.scrollWidth - document.documentElement.clientWidth, tableOverflow: wrap ? wrap.scrollWidth - wrap.clientWidth : 0 };
     });
-    check(`长名称/长地址不再被截断（注入 ${injected} 个）`, clip.clipped === 0, `截断单元格 ${clip.clipped} 个，最大 ${clip.worst}px`);
+    // 横向方向：单元格内容一律不得溢出（限高不换行时最容易被长 URL 顶破）
+    check(`表格单元格无横向溢出（注入 ${injected} 条长内容）`, clip.clipped === 0, `溢出单元格 ${clip.clipped} 个，最大 ${clip.worst}px`);
     check('表格仍无横向滚动', clip.pageOverflow <= 0 && clip.tableOverflow <= 0, `页面 ${clip.pageOverflow} / 表格 ${clip.tableOverflow}`);
+    // 纵向方向：长内容改为「限两行 + title 悬停看全文」，完整值仍必须可取
+    // 注意 display 的计算值不可作为判据：Chrome 实现了标准 line-clamp 后会把
+    // display 从 -webkit-box 规范化为 flow-root，这里改查 -webkit-line-clamp 计算值
+    const clamp = await dp.evaluate(() => {
+      const els = [...document.querySelectorAll('.monitor-table .clamp2, .events-table .clamp2')];
+      const clamped = els.filter((e) => e.scrollHeight - e.clientHeight > 1);
+      const noTitle = [...document.querySelectorAll('.t-name, .t-target, .ev-name, .ev-detail')].filter((td) => !td.title);
+      const cs = els[0] ? getComputedStyle(els[0]) : null;
+      return {
+        total: els.length,
+        clamped: clamped.length,
+        noTitle: noTitle.length,
+        overflow: cs?.overflow ?? '',
+        clamp: cs?.webkitLineClamp ?? cs?.lineClamp ?? '',
+        h: els[0] ? Math.round(els[0].getBoundingClientRect().height) : 0,
+      };
+    });
+    check('长文本限两行显示且 overflow:hidden（等高的前提）', clamp.clamped > 0 && clamp.overflow === 'hidden' && clamp.clamp === '2', `限行 ${clamp.clamped}/${clamp.total}，-webkit-line-clamp=${clamp.clamp}，元素高 ${clamp.h}px`);
+    check('被截断的单元格仍带 title（悬停可看完整值）', clamp.noTitle === 0, `缺 title 的单元格 ${clamp.noTitle} 个`);
     const evr = await dp.evaluate(() => {
       const table = document.querySelector('.events-table');
       const evRow = table?.querySelector('tbody tr');