fix: 修正服务器反复传送刷屏日志、识别外站账号绑定流程、重连指数退避

部署到 Debian 服务器时暴露的三个真实缺陷：

1. 「被服务器传送」日志洪水
   账号未完成服务器验证时服务端每 tick 强推一次位置，实测 3 分钟刷出 748 行日志，
   几十分钟就会冲光 2000 条的日志环形缓冲并把 WebSocket 打满。
   现改为首次立即记录、其余按 30 秒窗口聚合成一条，断开连接时刷出未汇总计数。

2. 外站账号绑定流程无法识别
   原先只认 /login 与 /register，遇到简幻通这类要求 /auth <UID> <验证码> 或扫码绑定的
   服务器时，表现只是「连上→被传送→120 秒后被踢→重连」的静默死循环。
   现新增 NEED_AUTH_PATTERN 识别并输出可操作的中文告警（每连接一次），
   新增 server.authCommand 模板供有固定验证码的服务器自动过验证。

3. 重连无退避
   连续被踢时每 10 秒硬撞服务器。现按指数退避拉长（server.reconnectMaxDelayMs，
   默认上限 120 秒），成功进入世界后清零；抽出 computeReconnectDelay 便于测试。

顺带补充 README 的「部署到服务器」章节（Node ≥ 22 要求、私有运行时、pm2、日志分文件、排障表）。

测试从 242 增至 252，全部通过。

CHANGELOG.md

@@ -55,12 +55,25 @@
 
 - 修正控制台地图瓦片 URL 与后端路由不一致的问题（前端请求 `/api/bigmap/tile/:z/:x_y.png`，
   后端路由为 `/api/bigmap/tile/:z/:x/:y.png`）
+- **「被服务器传送」日志洪水**：账号未完成服务器验证时，服务端会每 tick 强推一次位置，
+  实测 3 分钟刷出 748 行日志，几十分钟就会把 2000 条的日志环形缓冲冲光、并把 WebSocket 打满。
+  现改为首次立即记录、其余按 30 秒窗口聚合成一条（`被服务器传送另有 N 次`），
+  并在连接断开时把未汇总的计数刷出去
+- **外站账号绑定流程无法识别**：本项目原先只认 `/login` 与 `/register`，
+  遇到「简幻通」这类要求 `/auth <UID> <验证码>` 或扫码绑定的服务器时，
+  表现只是「连上 → 被传送 → 120 秒后被踢 → 重连」的静默死循环，失败原因对用户完全不可见。
+  现新增 `NEED_AUTH_PATTERN` 识别，命中后输出可操作的中文告警（每个连接只提示一次），
+  并新增 `server.authCommand` 模板供配置固定验证码的服务器自动过验证
+- **重连无退避**：连续被踢时每 10 秒硬撞一次服务器。现按指数退避拉长间隔
+  （`server.reconnectMaxDelayMs`，默认上限 120 秒），成功进入世界后计数清零
 
 ### 已知限制
 
 - **多个机器人共享一份领土模型**：`markers.json` 是全服数据，没必要每个机器人各拉一遍；
   因此「会话新占领」区块是全局共享的，控制台地图的己方邦国显示的是最近启动的那个机器人的邦国
 - **大地图层级 3 不预爬取**：全图 80×80=6400 张瓦片约 200MB，改为按需拉取 + 永久缓存
+- **扫码类账号绑定无法自动化**：`/auth <UID> <验证码>` 的验证码是动态的、扫码更是需要人工，
+  程序只能明确报错提示；绑定是一次性的，绑定成功后同一账号即可自动登录
 
 ## [1.0.0] - 2026-02-14