feat(desktop,island,shared): 灵动岛支持多条通知竖排列表 + 触摸模式 + 收回动画，产物加凭据门禁

灵动岛列表：多条通知时展开为竖排列表，默认显示 3 条，点「展开更多」铺到屏幕容纳
上限，放不下的收进「更多请前往应用内操作」。卡片高度由主进程与渲染进程各算一次
同一个数 —— 度量表 ISLAND_LIST_METRICS 与排序权重 PRIORITY_RANK 放在 shared，
窗口包围盒随之长高（不够高会把底部按钮裁掉）。

触摸模式：触摸屏上手指既不产生 mousemove、也不移动系统光标，原先两条命中链路都会
让窗口永远停在穿透态、手指点不开岛。现按 navigator.maxTouchPoints 上报后，主进程把
窗口贴合岛体并始终接收输入；非触摸屏机器完全不走这条路。

收回动画：main 先发 island:closing，渲染进程形变收敛后回 closing-done 才淡出，
不再靠猜时长（rAF 被节流时会把卡片缩到一半窗口就没了）。

安全门禁：新增 scripts/check-bundle-secrets.mjs 并接进 build:desktop ——
dist 产物会被打进 app.asar 发到每台学生机、且可解包，冒烟凭据一律改由环境变量注入，
产物里出现种子口令即构建失败。

packages/desktop-client/src/main/config.ts

@@ -12,6 +12,7 @@ import {
   type ClassIslandNotificationChannel,
   type IslandAppearance,
 } from '@classhelper/shared';
+import { logger } from './logger.js';
 import type { DesktopStoredConfig, HomeworkBoardSettings } from '../types/desktop.js';
 
 /** 作业页展示偏好默认值（看板 + 不显示时间 + 15px） */
@@ -142,8 +143,15 @@ function encryptToken(token: string | null): { token: string | null; tokenEncryp
       return { token: safeStorage.encryptString(token).toString('base64'), tokenEncrypted: true };
     }
   } catch {
-    // 某些环境下 DPAPI 不可用，降级为明文存储（仅本地开发场景）
+    // 见下方降级分支
   }
+  // 降级为明文存储（DPAPI 不可用，一般只在本地开发环境出现）。
+  // 必须留下日志：明文 token 代表该班的全班身份，任何能读用户目录的进程/备份/同步盘都能拿到，
+  // 静默降级会让"为什么换个环境就得重新登录/凭据是怎么泄露的"无从查起。
+  logger.warn(
+    `系统加密存储不可用，登录令牌将以**明文**写入配置（${configFilePath()}）；` +
+      '如需加密请确认 Windows 凭据保护（DPAPI）可用',
+  );
   return { token, tokenEncrypted: false };
 }
 
@@ -164,7 +172,7 @@ function readPersisted(): PersistedConfig {
     return {
       serverUrl:
         typeof parsed.serverUrl === 'string' && parsed.serverUrl
-          ? parsed.serverUrl
+          ? (normalizeServerUrl(parsed.serverUrl) ?? DEFAULT_CONFIG.serverUrl)
           : DEFAULT_CONFIG.serverUrl,
       username: typeof parsed.username === 'string' ? parsed.username : '',
       token: typeof parsed.token === 'string' ? parsed.token : null,
@@ -185,6 +193,25 @@ function writePersisted(config: PersistedConfig): void {
   fs.writeFileSync(target, JSON.stringify(config, null, 2), 'utf8');
 }
 
+/**
+ * 服务器地址只接受 http/https 绝对地址。
+ *
+ * 渲染进程的输入框走 `normalizeServerUrl` 校验过，但 IPC（`saveConfig`）与手工改过的
+ * config.json 都会绕过它，而该值随后会作为 axios baseURL 与 Socket.IO 地址使用 ——
+ * 因此必须在**主进程这一侧也收口**，非法值一律丢弃（保留原值）。
+ */
+function normalizeServerUrl(input: string): string | null {
+  const trimmed = input.trim().replace(/\/+$/, '');
+  if (!trimmed) return null;
+  try {
+    const url = new URL(trimmed);
+    if (url.protocol !== 'http:' && url.protocol !== 'https:') return null;
+    return trimmed;
+  } catch {
+    return null;
+  }
+}
+
 /** 读取配置（token 已解密），供渲染进程使用 */
 export function getConfig(): DesktopStoredConfig {
   const persisted = readPersisted();
@@ -204,7 +231,9 @@ export function saveConfig(patch: Partial<DesktopStoredConfig>): DesktopStoredCo
   const persisted = readPersisted();
 
   if (typeof patch.serverUrl === 'string' && patch.serverUrl.trim()) {
-    persisted.serverUrl = patch.serverUrl.trim().replace(/\/+$/, '');
+    const normalized = normalizeServerUrl(patch.serverUrl);
+    if (normalized) persisted.serverUrl = normalized;
+    else logger.warn(`忽略非法的服务器地址（只接受 http/https）：${patch.serverUrl}`);
   }
   if (typeof patch.username === 'string') {
     persisted.username = patch.username;