feat(desktop,island,shared): 灵动岛支持多条通知竖排列表 + 触摸模式 + 收回动画，产物加凭据门禁

灵动岛列表：多条通知时展开为竖排列表，默认显示 3 条，点「展开更多」铺到屏幕容纳
上限，放不下的收进「更多请前往应用内操作」。卡片高度由主进程与渲染进程各算一次
同一个数 —— 度量表 ISLAND_LIST_METRICS 与排序权重 PRIORITY_RANK 放在 shared，
窗口包围盒随之长高（不够高会把底部按钮裁掉）。

触摸模式：触摸屏上手指既不产生 mousemove、也不移动系统光标，原先两条命中链路都会
让窗口永远停在穿透态、手指点不开岛。现按 navigator.maxTouchPoints 上报后，主进程把
窗口贴合岛体并始终接收输入；非触摸屏机器完全不走这条路。

收回动画：main 先发 island:closing，渲染进程形变收敛后回 closing-done 才淡出，
不再靠猜时长（rAF 被节流时会把卡片缩到一半窗口就没了）。

安全门禁：新增 scripts/check-bundle-secrets.mjs 并接进 build:desktop ——
dist 产物会被打进 app.asar 发到每台学生机、且可解包，冒烟凭据一律改由环境变量注入，
产物里出现种子口令即构建失败。

packages/desktop-client/src/main/index.ts

@@ -1,4 +1,5 @@
 import path from 'node:path';
+import { pathToFileURL } from 'node:url';
 import { BrowserWindow, app, shell } from 'electron';
 import { registerIpcHandlers } from './ipc.js';
 import { island, registerIslandIpc } from './island.js';
@@ -23,6 +24,30 @@ let mainWindow: BrowserWindow | null = null;
 /** 是否正在退出：用于区分「关闭窗口 = 隐藏到托盘」与「真正退出」 */
 let isQuitting = false;
 
+/** 生产环境下主窗口加载的本页地址（用于导航白名单的精确比对） */
+const prodRendererUrl = pathToFileURL(path.join(currentDir, '../renderer/index.html')).href;
+
+/**
+ * 是否允许窗口导航到这个地址。
+ *
+ * 为什么不能用 `url.startsWith(...)`：
+ * - 开发态 `url.startsWith(devServerUrl)` 没有主机边界，`http://localhost:5174.evil.com` 也会被放行；
+ * - 生产态 `url.startsWith('file://')` 等于放行**任意本地页面**。
+ * 而 preload 是挂在窗口上的（不是挂在 URL 上）：一旦窗口被导航到别处，那个页面照样持有
+ * `window.desktop`（含 `getConfig` 返回的明文 token）。因此这里按"精确同源 / 精确同一文件"比对。
+ */
+function isAllowedNavigation(url: string): boolean {
+  try {
+    const target = new URL(url);
+    if (devServerUrl) return target.origin === new URL(devServerUrl).origin;
+    target.hash = '';
+    target.search = '';
+    return target.href === prodRendererUrl;
+  } catch {
+    return false;
+  }
+}
+
 function createWindow(): BrowserWindow {
   const win = new BrowserWindow({
     width: 1200,
@@ -49,11 +74,10 @@ function createWindow(): BrowserWindow {
     return { action: 'deny' };
   });
   win.webContents.on('will-navigate', (event, url) => {
-    const allowed = devServerUrl ? url.startsWith(devServerUrl) : url.startsWith('file://');
-    if (!allowed) {
-      event.preventDefault();
-      if (/^https?:\/\//i.test(url)) void shell.openExternal(url);
-    }
+    if (isAllowedNavigation(url)) return;
+    event.preventDefault();
+    if (/^https?:\/\//i.test(url)) void shell.openExternal(url);
+    logger.warn(`主窗口拒绝了页面导航：${url}`);
   });
 
   win.on('closed', () => {
@@ -106,6 +130,11 @@ if (!gotLock) {
         if (!mainWindow || mainWindow.isDestroyed()) return;
         mainWindow.webContents.send('island:mark-read', id);
       });
+      // 多条通知时的"标为已读"是**整批**操作：一次把列表里的通知都标上
+      island.setMarkAllReadHandler((ids) => {
+        if (!mainWindow || mainWindow.isDestroyed()) return;
+        mainWindow.webContents.send('island:mark-all-read', ids);
+      });
     } catch (error) {
       logger.error('灵动岛初始化失败（不影响主功能）', error);
     }