fix(frontend): 修复连接能力、任务切换与只读审批

[NanaseInori]

Summary

Closes #258.

• 补齐 Web/Desktop → connection store → V2 APIClient 的两项批次交付能力与已验证连接地址；客户端只在地址、认证或能力改变时更新，保留既有权限组合。
• 创建请求只在原等待页仍有效时自动打开，否则显示主动打开提示。创建/首轮的晚到结果及暂停恢复均绑定原任务、Run 和请求 key，保护当前导航、错误、按钮和草稿。
• 只读连接可查看既有 GET 审批队列与脱敏预览；批准、拒绝、有界授权和恢复决定仍由控制权限单独门控。补齐空队列、读取失败与过期预览展示。

基于最新 main dab1e2b6 的独立 worktree。沿用现有控制平面和恢复合同（ADR 0147、0148、0156），更新使用文档；未修改后端、API/schema、依赖或 CI 门禁。

Validation

最终提交：d59dadc12564c788c715193d917be747feb1cf87。

• 完整前端套件：npm test -- --maxWorkers=4，165 文件 / 1,477 项通过。
• npm run check:api、npm run build（含 TypeScript 检查）。
• npm audit --audit-level=high：0 vulnerabilities。
• Windows 安全 tag 边界：go test -count=1 -tags "desktop,wv2runtime.error" ./cmd/cyberagent-desktop ./internal/webui ./web；go test -count=1 -timeout 5m -tags "desktop,wv2runtime.error" ./internal/desktop，全部通过。
• 协议注册表、Surface inventory 和 git diff --check。
• 既有 GitHub CI completed / success，HEAD 与上面的最终提交一致；按影响执行，未新增门禁。

回归覆盖 Web/Desktop 能力传递和权限组合负例、客户端身份与真实认证请求头；创建/首轮晚到成功及失败、跨项目往返、新请求错误保护、持久化交接；跨 Thread/Run 暂停恢复与幂等重试；只读审批 GET、无控制按钮、空队列、失败重试与过期预览。新增创建竞态用例已验证修前失败、修后通过。

本地 Node 24.14.0 / Go 1.26.5。首次本地 Windows 检查因测试进程的 GOTMPDIR 混用斜杠而被目录规范化夹具拒绝；改用规范 Windows 路径后上述包均通过，无产品源码改动。未运行完整 Go/Rust 套件或真实 Windows/macOS GUI 人工矩阵；现有 CI 负责其适用的检查。

Surface governance

• No Surface is added, promoted, downgraded, deprecated, or removed.
• Registry declarations: N/A — no Surface change.
• Authority impact: UI 显示与请求归属修复；沿用 Go 的读/控制令牌、审批、工作区与执行权限，不新增网络、进程、文件写入、凭证或持久化权限。
• Supported platforms: Web / Desktop 共享 React 接线。

Audit

• No credentials or local runtime data are included.
• Policy, workspace, sandbox, and persistence boundaries were reviewed.
• 使用文档已更新；公开预览继续经过现有脱敏与来源校验。