v0.3.1

新增

• 虚拟机终端控制台（xterm.js）：控制台可切换「图形 / 终端」，终端走 PVE 的 serial0，文本能选中复制、翻历史、调字号；容器只保留图形模式。
• 硬件页可添加串口：serial0–serial3 可加、可改、可删；终端停在 starting serial terminal 时，可一键在客户机里启用串口登录。
• 控制台剪贴板与文件中转：剪贴板可直接送进客户机；文件上传到面板后拿到限时地址，由客户机用 curl / Invoke-WebRequest 自己拉取。
• 账号有效期：到期前 7 / 3 / 1 天邮件提醒，到期冻结账号并关停其名下正在运行的机器。
• 新来源 IP 登录告警：账号首次从某 IP 登录成功时通知管理员并写审计。
• 公网暴露加固：面板准入白名单 PANEL_ALLOW_CIDRS、PVE 连接证书钉扎（自签证书不必再关校验）。

变更

• 控制台工具栏重做为分段控件，状态徽章与控件同高。
• 容器控制台移除「终端」选项。
• 接口文档默认关闭，打开后仅管理员可访问；注册页加入人机校验。
• 设置页补充公网暴露加固（白名单、反代信任边界、2FA、登录告警）的配置说明。

修复

• 终端连上后一片空白：补上终端自己的舞台容器，并按 PVE termproxy 协议握手（鉴权行、字节长度、保活）。
• 验证码可重复提交：改为取出即作废。
• 自签证书环境下控制台建连失败。

安全

• 统一下发 CSP / X-Content-Type-Options / Referrer-Policy / Permissions-Policy。
• PANEL_ALLOW_CIDRS 与 FORWARDED_ALLOW_IPS=* 同时出现时拒绝启动。

完整变更见 CHANGELOG.md。