feat(docs,scripts,build): 用 docfx 搭文档站并发布到 GitHub Pages，版本号收口成脚本迭代

文档站（`docs/` 就是 docfx 项目，发布在 https://lovechengke.github.io/ClassHelper/）：

- 四章 + 常见问题 + 完整参考，共 44 页：快速上手（8 页）/ 应用帮助（10 页）/
  管理运维（6 页）/ 开发文档（11 页）。信息架构照 ClassIsland 文档站来：
  顶栏分章、左侧章节导航、右侧本页目录、上一页 / 下一页、站内搜索、深色主题跟随系统；
- 自定义模板覆盖（`templates/classhelper/`）：把 docfx modern 模板那套英文 UI 文案
  （In this article / Improve this doc / Next…）换成中文，补 GitHub 入口与版本徽标，
  并加一层只调排版与配色的 `public/main.css`（不动 DOM 结构）；
- 站点顶栏的版本徽标取自根 `package.json`（`docs/build.mjs` 用 `--metadata` 注入），
  不在文档里写第二份 —— 否则一定漂；
- 404 页单独生成：GitHub Pages 的项目页挂在 `/<仓库名>/` 子路径下，而浏览器是按**被请求的路径**
  解析页面里的相对链接的，所以 `<base>` 必须钉到站点根，由 `build.mjs`（本地 `./`）与
  workflow（CI 传 `/<仓库名>/`）分别注入；
- 构建前清空 `_site`：docfx 只覆盖不清理，删掉或改名的页面会以旧文件留在目录里，
  而 Pages 上传的是整个目录。

版本迭代（**每一次 releases，不是每一次提交**）：

- 新增 `scripts/version.mjs`。这个仓库里同一个版本号散在 **10 个文件**里（5 份 `package.json`、
  `deploy/package.runtime.json`、两个 compose 的镜像 tag、插件 `manifest.yml`、以及插件 C# 里的
  `PluginVersion` 常量），手工改必然漏一处，而漏掉的那处**不会报错**，只在某个不常走的分支上
  表现为"版本号对不上"。现在收口成两条命令：`pnpm version:check`（逐处比对，不一致 exit 1）
  与 `pnpm version:bump patch|minor|major`（一次改写全部 10 处，任何一处匹配不到或匹配到多处
  就直接失败退出，不做尽力而为的部分改写）；
- `AGENTS.md` 新增 §4.4「版本迭代（每一次 releases，不是每一次提交）」：写清版本号落在哪 10 处、
  完整发布命令序列（体检 → 验收 → `dist:all` → 哈希清单 → 推 master → `gh release create` →
  Linux 包由 CI 合并哈希行），以及"已发布的版本号不要复用"的理由。

其它：

- `.github/workflows/docs.yml`：推 master（`docs/**` / `package.json` / workflow 自身有变）即构建并
  部署到 Pages；构建带 `--check`，把 docfx 的警告当错误 —— 最常见的警告是"某个 `.md` 没被任何
  `toc.yml` 引用"，那种页面有内容但没有侧边栏，属于必须修掉的疏漏；
- docs 目录重组后的引用同步：`production` / `mysql` / `linux-deploy` / `winisland-design-tokens`
  移到新位置后，AGENTS.md、`deploy/`、`scripts/`、客户端源码注释里的路径引用一并更新；
- 文档站只发布 `docs/` 这一棵树，页面里指向树外的相对链接（`../AGENTS.md` 等）改成 GitHub 绝对 URL，
  否则上线全是 404；
- 图标派生清单补上文档站模板里的 `logo.png` 与 `favicon.png`（`pnpm icons` 一并生成，
  仍然只有一个图形源 `build/classhelper.{png,ico}`）；
- `docs/_site` 进 `.gitignore` / `.prettierignore` 与 ESLint ignores；
- 根脚本补 `version:check` / `version:bump` / `docs:build` / `docs:serve` / `docs:check`。

docs/faq.md

@@ -0,0 +1,155 @@
+---
+title: 常见问题
+description: 装不上、连不上、改了不生效——最常被问到的那些问题。
+---
+
+# 常见问题
+
+## 安装与启动
+
+### 客户端装不上 / 便捷版双击没反应 / 应用一闪就没了
+
+**现象**：安装程序报「拒绝访问」，便捷版双击毫无反应，装上了也启动即退且不写日志
+（退出码 `0x80000003`）。
+
+**原因**：交付物被打了 **Low 完整性标签**。带 Low 标签的 exe 会被 Windows 降级运行：
+写不进 `%LOCALAPPDATA%` / `%TEMP%`；即使装上，Chromium 的子进程（完整性更低）也读不到这些文件而秒崩。
+
+**处置**：从 [Releases](https://github.com/LoveChengke/classhelper/releases) 下载的官方包不受影响
+（打包脚本收尾会自动修正标签）。自己构建时如果碰到，用：
+
+```cmd
+icacls <产物目录> /setintegritylevel Medium /T /C
+```
+
+判据是 `icacls <exe> | findstr Mandatory` 里出现 `Low`。
+另外**别把安装测试装进仓库目录里** —— 在那里又会继承 Low。
+
+### 双击客户端"点了没反应"
+
+**关窗只是隐藏到托盘，进程还在。** 再双击 EXE 会被单实例锁秒退（看起来像没反应），
+安装包也会因为"应用正在运行"装不上。先**从托盘右键退出**。
+
+### 安装包装不上，说应用正在运行
+
+同上。托盘 → 退出班级小助手。
+
+## 连接与登录
+
+### 后端明明在跑，`Invoke-WebRequest` 却返回别人的 404
+
+**系统代理拦住了 `127.0.0.1`**。自测请加 `-NoProxy`（`curl.exe` 用 `--noproxy '*'`）。
+项目内的 Node 脚本直连，不受影响。
+
+### 客户端连不上服务器
+
+1. 服务器地址要填**局域网 IP**（`http://192.168.1.10:4000`），不要写 `localhost`（那是客户端自己）；
+2. 服务器防火墙放行 **4000**；
+3. 服务器上如果开了系统代理，内网地址可能被代理接管 —— 浏览器与客户端**不会**自动绕过
+   （只有 ClassIsland 插件对本地 / 内网做了强制直连）；
+4. 在服务器本机 `curl.exe --noproxy '*' http://127.0.0.1:4000/healthz` 是不是 200？
+
+### 页面能打开，但接口全 401
+
+令牌过期，或者 `.env` 里的 `JWT_SECRET` 被换过（换过之后所有人的令牌都失效）。重新登录即可。
+
+### 提示「无法连接 GitHub」/ 检查更新查不到
+
+**这是设计内的结果**，不是错误。机房与教室机器常常只有内网，请求会超时；
+界面按"暂时查不到更新"呈现。失败结果同样进缓存，不会每点一次都白等一个超时。
+
+### 反向代理后面所有请求都被限流
+
+反向代理没设 `TRUST_PROXY=1`，导致所有请求都被算作代理那一个 IP。
+
+## 功能行为
+
+### 上课时段发的通知学生看不到
+
+**这是设计行为。** 上课时段普通通知只进队列、不打断课堂，**下课自动补弹**。
+紧急通知与叫人则立刻弹。规则见[通知与提醒](app/notifications.md)。
+
+### 老师说发了通知，教室机器上什么都没弹
+
+按顺序排查：
+
+1. 客户端顶栏的实时通道是不是"已连接"？
+2. 现在是上课时段吗？（同上，是设计行为）
+3. 教室客户端的「设置 → 提醒」是不是设成了"只在 ClassIsland 上弹"？那样客户端只进通知中心。
+4. 反向代理放行 `/socket.io/` 的 WebSocket 升级了吗？
+
+### 屏幕上出现了第二个灵动岛，点它反应不对
+
+那是**自动化验证实例**的岛 —— `pnpm verify:desktop` / `verify:packaged` 会真的在屏幕上放一个，
+而且它归脚本控制，会自己展开 / 收起 / 消失。验证实例的岛是**洋红主题色**，一眼可辨。
+
+### 灵动岛上的文字往右跳一下再缩回
+
+那是早期的布局问题（胶囊内容跟着卡片重排），已经修掉了。如果你的版本还有，
+说明用的是旧产物 —— 参考[更新与升级](management/upgrade.md)。
+
+### 灵动岛调"左右边距"没反应
+
+**左右边距只在「左 / 右停靠」时生效。** 默认是「顶部居中」，水平锚点就是屏幕中线，
+这时调它不会有任何变化 —— 设置页会把那个滑块置灰并写明原因。
+
+### 触摸屏上点不开灵动岛
+
+触摸屏（希沃白板等）会自动走「触摸模式」，正常情况不用手动开。
+如果确实点不开，到「设置 → 关于」看一眼诊断信息，并把客户端版本反馈出来。
+
+### 教室机器上刚录的作业又要弹一次？
+
+**本机录入的作业不会上岛**（自己通知自己没意义）。如果弹了，说明这条不是这台机器录的。
+
+### 学生登录不了
+
+**学生没有个人账号。** 学生端统一用**班级码 + 班级密码**登录（见[装学生端](get-started/client.md)）。
+用学生用户名去登录一定会失败，这是设计。
+
+### 客户端里找不到"修改密码"
+
+**是刻意移除的。** 防止教室机器上误改班级密码后，别的教室机器被锁在门外。
+班级密码由管理员在 Web 端「班级管理」维护；教师 / 管理员本人密码在 Web 端顶栏头像菜单里改。
+
+## 开发与运维
+
+### `pnpm db:seed` 报 `Cannot find module '.../@classhelper/shared/dist/index.js'`
+
+`packages/shared` 还没构建（它产出 `dist`，三端与 seed 都依赖）。先 `pnpm build:shared`。
+
+### 根目录跑 `pnpm db:deploy` 说不存在
+
+根 `package.json` 没有这个脚本。正确写法：
+
+```bash
+pnpm --filter @classhelper/server db:deploy
+```
+
+### 后端改了代码不生效
+
+`tsx src/index.ts` **不热载**。用 `pnpm dev:server`（watch），或重启服务端。
+**切换数据库之后必须重启**才会连上新库。
+
+### 上传表格报「服务器内部错误：request entity too large」
+
+表格导入的文件上限是 **8MB**（请求体 12MB），超限应返回 **413 `IMPORT_TOO_LARGE`** 与中文提示。
+如果你看到的是英文兜底错误，说明这个异常没被映射 —— 那是 bug，不是你的文件太大。
+
+### 切了 MySQL 之后重启又连回旧库
+
+服务端安装形态里，安装目录的 `.env` **必须是指向 `/etc/classhelper/config.env` 的软链**。
+两处不是同一个文件时，一键切换会"看起来成功、重启后又连回旧库"。
+Linux 上跑 `sudo classhelper doctor` 有专门一条断言盯着这个软链。
+
+### SQLite 报 `database is locked`
+
+同一个数据库文件只允许一个服务实例。确认没有重复启动；需要并发就换 MySQL。
+
+## 还没解决？
+
+- 开发环境的坑（命令、代理与 TLS、完整性标签、ClassIsland 路径与日志编码……）
+  都记在仓库的 [`AGENTS.md`](https://github.com/LoveChengke/classhelper/blob/master/AGENTS.md) 里；
+- 功能行为的权威说明在[完整参考](reference.md)；
+- 都不是的话，去 [Issues](https://github.com/LoveChengke/classhelper/issues) 提一个，
+  附上版本号（Web 端顶栏 / 客户端「设置 → 关于」里都有）和日志。