Bind Feishu identity to OpenVPN sessions and refine management UI

docs/specs/SDD-008-web-ui-guide-alignment.md

@@ -22,6 +22,8 @@
 
 风险：菜单 meta 遗漏导致入口消失；颜色对比、窄屏表格或图表实例切换出错；登录错误处理误跳转；大文件 CSV 进入浏览器内存。验收：所有原有入口均可从对应角色看到，子页可返回专线；中文/英文页面可构建；桌面与小屏下菜单和操作按钮可点；登录 401 留在登录表单，业务 401 只触发一次跳转；接口错误时有重试且不伪造数据；日志导出请求 URL 不含 token，HTTP Authorization 携带凭据并成功下载 CSV。旧版后端接口保持兼容。提交前执行前端构建与 `git diff --check`，生产发布需另行确认可访问性与当前在线 VPN 连接；回退只需切回上一版前端嵌入二进制。
 
-## 后续拆分点
+## 第二轮：页面拆分与发布
 
-`Settings.vue`、`Tunnels.vue`、`VPNUsers.vue` 目前超过指南的 400 行视图上限。下一轮按业务边界分别将身份/网关设置、专线详情/日志、拨号用户的 MFA 弹层移至页面私有组件和 composable。避免本次视觉统一同时改变这些敏感业务表单的状态及 API 调用顺序。
+`Settings.vue` 的飞书身份与公网入口各自负责原有请求、加载状态及校验；`Tunnels.vue` 的专线详情（流量策略、WireGuard Peer、二维码）与实时日志各自管理原有弹层；`VPNUsers.vue` 的 MFA 管理弹层负责原有绑定、PIN、解锁与备用码操作，操作完成通知父页刷新列表。路由、接口 URL、鉴权头、表单字段和权限入口不变，页面私有组件放在各自的 `views/<域>/components/`。实时日志在关闭、切换和组件销毁时结束请求，以免后台持续读取。
+
+风险：拆分状态后子组件遗漏初始化、刷新或清理；身份凭据与 MFA 的错误处理不能退化；二维码仍需在列表与详情两处可用。验收：前端构建、差异检查；管理端登录后验证设置页四个标签、专线详情/日志及拨号用户 MFA 操作；服务器确认 HTTPS 健康、OIDC 发现文档、Nginx 配置与原有 VPN 进程。生产发布只替换管理服务的内嵌前端二进制，不重启专线进程；先在 `/tmp/opsx-vpn-backups` 保留旧二进制，最多留两份。若健康检查或静态资源异常，恢复旧二进制并重启管理进程；保留现有数据库、证书和专线配置。