2.3.0：手表界面精简 + 播放器 + 鼠标重做

手表端
- 功能页从 10 个杂项精简到 7 个（屏幕/鼠标/媒体/文件/电脑/语音/电源）
- 删掉：游戏封锁、待办、掷骰子、抽奖、壁纸、显示器开关、定时关机、
  剪贴板历史、性能/磁盘/电量、文件夹浏览、教室限制等
- 改成显式列按钮，不再把电脑端所有功能组无脑铺到表盘
- 远程鼠标控制重做：滑动区 + 左键/滚轮/右键三按钮
  滚轮点按=中键、上下滑=滚动
- 新增视频/音乐播放器（手表本地播放）：进度拖动、左右滑快进退10秒、
  点画面播放暂停、上一/下一、播完自动下一首

电脑端
- 新增 kill_all（结束所有进程），白名单保护系统关键进程和自身
- 新增 media_list / media_pull（播放器数据源）
  安全边界：只允许媒体目录，用 relative_to 判断，防同前缀兄弟目录绕过

中转站
- known_devices 从 ID 集合改成「设备ID -> 配对码」映射
- 修复：管理员改码后关机超过 6 小时，改码会被超时清理冲掉
- 老格式 state 文件平滑升级

_build/CHANGELOG.md

@@ -1,3 +1,90 @@
+## 2.3.0
+
+- **手表端界面大改** —— 用户原话「杂七杂八功能都删掉」。功能页从 10 个杂项分页
+  精简成 7 个明确的：
+
+  | 分页 | 内容 |
+  |---|---|
+  | 屏幕 | 屏幕镜像 / 返回桌面 / 亮度 + / 亮度 - / 截屏 |
+  | 鼠标 | 远程鼠标控制 |
+  | 媒体 | 播放暂停 / 上一曲 / 下一曲 / 音量 +- / 静音 / **播放器** |
+  | 文件 | 发送文件 / 打开回收站 |
+  | 电脑 | 打开网址 / 快捷命令 / 进程管理 / 窗口置顶 / 结束所有进程 |
+  | 语音 | 语音播报 / 朗读剪贴板 |
+  | 电源 | 锁屏 / 睡眠 / 关机 / 重启 |
+
+  **删掉的**：游戏封锁、待办、掷骰子、抽奖、抛硬币、壁纸、显示器开关、
+  定时关机、剪贴板历史、性能/磁盘/电量、文件夹浏览、教室限制……
+
+  > 改了实现方式：以前每个分页靠 `TabDef.groups` 把电脑端上报的功能组
+  > 无脑铺上来 —— 电脑端加个功能，手表上就多一堆按钮。**那正是"乱"的来源。**
+  > 现在改成**显式列按钮**：手表上有什么，完全由代码决定。
+
+- **远程鼠标控制重做** —— 用户要求「中间是一个鼠标，可以上下左右滑动控制，
+  下面有三个按钮，左边是左键，中间是那个滑轮，右边是那个右键」。
+
+  ```
+  ┌──────────────────────────┐
+  │        滑动区（占满）      │  手指滑动 = 移动光标
+  ├────────┬────────┬────────┤
+  │  左键  │  滚轮  │  右键  │
+  └────────┴────────┴────────┘
+  ```
+
+  滚轮按钮：**点一下 = 中键单击**，**上下滑 = 滚动**。
+  三个按钮就把左/中/右 + 滚轮全覆盖了。
+
+- **新增视频 / 音乐播放器** —— 用户要求「有暂停开始，进度左右划，
+  下一个上一个」。
+
+  **设计取舍：让手表自己放，而不是让电脑放。**
+
+  如果让电脑放（调 `play_video`），电脑会打开它自己的播放器 ——
+  我们就**拿不到进度、也没法精确 seek**，那"进度左右划"就是假的。
+  手表自己放的话 `MediaPlayer` / `VideoView` 的
+  `getCurrentPosition` / `seekTo` 都是现成的，进度条和拖动全部真实可控。
+
+  代价：播放前要先把文件从电脑下到手表（走现有的分块传输）。
+
+  操作：
+  * 进度条拖动 = seek
+  * **画面区左右滑 = 快进/快退 10 秒**
+  * **点画面 = 播放/暂停**
+  * 上一 / 下一（播完自动下一首）
+  * 列表 = 从电脑的音乐/视频/下载/桌面目录里挑
+
+- **电脑端新增 `kill_all`（一键结束所有进程）** ——
+  **白名单式保护**：本程序自己的 PID、父进程链、一批系统关键进程
+  （csrss / winlogon / lsass / svchost / explorer / dwm …）全部跳过，
+  否则一按就蓝屏或桌面消失。其余全杀，返回杀了几个、跳过几个、失败几个。
+
+- **电脑端新增 `media_list` / `media_pull`** —— 播放器的数据源。
+  **安全边界**：只允许「音乐/视频/下载/桌面/接收目录」里的文件，
+  用 `Path.relative_to` 判断（不是字符串前缀 —— 那样「音乐-evil」
+  这种同前缀兄弟目录会被误判成子目录）。
+
+- **中转站：管理员改过的配对码不再因关机 >6 小时丢失** 🔧
+
+  之前这条链会断：
+
+  1. 管理员在后台把码 `111111` 改成 `222222`
+  2. 那台电脑关机（或断网）超过 `DEVICE_TTL`（6 小时）
+  3. `snapshot()` 把设备删了，孤儿的码 `222222` 也被当垃圾清掉
+  4. 电脑开机，报自己本地的旧码 `111111`
+  5. 中转已经不记得改过码 → 收下 `111111`
+  6. **管理员的改码白做了**，手表手里是 `222222`，连不上
+
+  修法：`known_devices` 从「纯 ID 集合」改成「**设备 ID → 配对码**」映射。
+  改码时会同步写进历史，超时清理不动它。设备重新登记时以历史里的码为准，
+  并随 `register()` 的返回值告诉电脑端，**电脑端写回本地设置**。
+
+  兼容性：老格式的 `relay_state.json`（`knownDevices` 是纯列表）
+  能平滑升级 —— 加载时识别成「认识这台设备，但不知道它该用哪个码」，
+  下次它上报什么就用什么（跟改动之前一致）。
+
+  「删除设备」仍然忘干净（连历史一起删）；「抹码」会清空历史里记的码
+  但保留设备 ID —— 否则抹码会白做。
+
 ## 2.2.0
 
 - **手表端：输入配对码连上之后，先到一个选择页** ——