feat: harden local shell, SFTP, and desktop session reliability

Finder-launched terminals now inherit a login PATH so tools like ollama resolve, destructive SFTP/editor actions require confirmation, and terminal search plus window dragging work again. SSH forwards and RDP sessions keep listeners and survive reconnect without FastPath crashes.

Co-authored-by: Cursor <cursoragent@cursor.com>

docs/user-guide.md

@@ -1,5 +1,7 @@
 # 使用指南
 
+OpsXShell 主打简单好用：常用远程操作走短路径，高级选项默认收起。不做堡垒审计。
+
 ## 快速连接
 
 按 `Cmd/Ctrl + K`，输入 `user@host` 或 `user@host:port` 后连接。默认端口为 `22`。快速连接适合临时使用，不会自动保存会话。
@@ -35,10 +37,12 @@ socks5://127.0.0.1:1080
 
 - 动态转发每台 SSH 主机仅一条，端口固定 `1080`；在抽屉中直接启停。
 - 状态栏「转发」右键可复制 `socks5://127.0.0.1:1080`。需要远程 DNS 解析的命令行工具应使用 `socks5h`，例如 `curl --proxy socks5h://127.0.0.1:1080 https://example.com`。
+- 本地转发：本机监听默认只需填端口（绑定 `127.0.0.1` / localhost，等同 `ssh -L 8080:…`）；需要局域网访问时再展开高级项改为内网 IP 或 `0.0.0.0`。目标主机相对当前 SSH 服务器（常用 `127.0.0.1` 或内网 IP），不是会话页主机名，且不能填 `0.0.0.0`。
 - 本地 / 远程规则在抽屉列表中添加、启停和删除；“停止”会关闭 Rust Listener，不是只改界面图标。
+- 远程转发（`-R`）：远端监听填 `127.0.0.1:端口`（仅 SSH 服务器本机可访问）或 `0.0.0.0:端口`（远端内网其它主机也可访问，需 sshd `GatewayPorts yes` 或 `clientspecified`）。目标为本机或内网 `host:port`（不能填 `0.0.0.0`）。服务器还需 `AllowTcpForwarding yes` 或 `remote`；监听端口不能已被占用；`<1024` 通常需要 root。可用 `ssh -R [bind:]port:host:port user@host` 对照。
 - “复制规则”会创建独立的新规则，便于只修改端口或目标；不会复制原规则的运行状态。
 - 运行中的规则选择“编辑”时，会先提示停止真实监听，再允许保存新配置。
-- 保存的是规则，不是“运行中”状态；应用重启后需要用户再次启动。
+- 保存的是规则，不是“运行中”状态；应用重启后需要用户再次启动。同一窗口内只要没点「停止」，SSH 断线、保活失败、空闲挂起或重连都会继续监听（本地 / SOCKS 端口不拆，远程转发会自动重听）。点停止、关闭标签、连接面板手动断开，或退出应用，才会关闭真实 Listener。关闭标签后再开同一会话不会自动拉起转发。
 - SOCKS5 默认仅监听本机，当前不提供局域网开放和客户端密码认证。
 
 ## 远程桌面（RDP / VNC）
@@ -67,15 +71,18 @@ socks5://127.0.0.1:1080
 
 ## SFTP
 
-SFTP 使用双栏文件管理器。上传和下载先写入 `.opsx-part` 临时文件，中断后再次传输同一路径会从已有字节继续。传输完成并通过大小校验后才替换正式文件，因此失败传输不会伪装成完整文件。
+SFTP 使用双栏文件管理器。中间箭头可上传/下载；上传和下载先写入 `.opsx-part` 临时文件，中断后再次传输同一路径会从已有字节继续。传输完成并通过大小校验后才替换正式文件，因此失败传输不会伪装成完整文件。
 
-- 上传：在左侧本地栏选中文件后点击“上传”；未选择文件时点击“上传”会打开系统原生文件选择器。
-- 下载：在右侧远程栏选中文件后点击“下载”。下载按钮在未选择远程文件时保持禁用。
-- 文件右键菜单也提供对应的“上传”或“下载”操作。
-- 可直接把左侧本地文件拖到右侧远程栏上传，也可把右侧远程文件拖到左侧本地栏下载；拖到目录行时以该目录为目标，并显示落点高亮。
+- 上传：在左侧本地栏选中文件后点中间「上传」箭头；未选择文件时会打开系统原生文件选择器。
+- 下载：在右侧远程栏选中文件后点中间「下载」箭头；未选择远程文件时下载保持禁用。
+- 文件右键菜单也提供对应的「上传」或「下载」操作。
+- 可把左侧本地文件拖到右侧远程栏上传，也可把右侧远程文件拖到左侧本地栏下载；拖到目录行时以该目录为目标，并显示落点高亮。系统未提供拖拽路径时，请改用中间箭头或文件选择器。
 - 当前拖拽只支持单个文件，不递归传输目录；同侧拖拽不会执行移动或重命名。
-- 远程文本编辑的“打开/保存”直接读写远程文件，不会在本地创建同名文件，也不等同于上传或下载。
-- 传输失败会在传输队列和界面通知中显示 Rust/SFTP 返回的具体原因。
+- 远程文本编辑直接读写远程文件，不会在本地创建同名文件，也不等同于上传或下载。可编辑类型按扩展名排除归档/二进制等；单文件约 **2MB** 上限，超限、二进制或非 UTF-8 会提示并拒绝打开，请下载后用本地编辑器处理。
+- 上传/下载若目标已存在同名项，会询问「覆盖」或「跳过」；失败或取消的任务可在传输队列里一键重试。
+- SSH 断线后，SFTP 一键重连会优先回到断线前的远程目录；进行中的传输会标为失败，可重试。终端标签本身也支持一键重新连接（及可选自动重连）。
+- 刷新时状态栏显示「正在刷新…」，传输忙时浏览类操作会立即返回忙提示而不是卡住界面。
+- 传输失败会在传输队列和界面通知中显示经多语言映射后的原因。
 
 当前目标文件采用覆盖语义。内容哈希校验和显式冲突选择仍在路线图中。
 
@@ -122,7 +129,7 @@ SFTP 使用双栏文件管理器。上传和下载先写入 `.opsx-part` 临时
 
 ## 界面语言
 
-设置中可切换中文（zh-CN）与 English。首次启动按系统语言自动选择；验收与单元测试默认中文文案。
+设置中可切换：简体中文（zh-CN）、繁体中文（zh-TW）、English、日本語、한국어、Tiếng Việt、Русский。首次启动按系统语言自动选择；新增可见文案须同步全部语种，并由 `test/i18n/localeKeys.test.ts` 校验 key 对齐。验收与单元测试默认中文文案。
 
 ## 本地数据