desktop: Tauri v2 后端 + 共享网络层（用户端/裁判端双身份）

把桌面端从 Slint 迁到 Tauri v2，后端先落地，界面待接。拆成三层：

- desktop/core（cam-core，67 测试）：从旧 client/ 抽出的非界面部分。UDP 接收按
  发送方重组、装甲板发现与血量、帧率窗口、槽位分配、配置与密码。
- desktop/src-tauri（27 测试）：Tauri 后端。回环 WebSocket 推二进制 JPEG、
  每 200ms 一份状态快照、密码闸门、截图、ffmpeg 录制 mp4、演示数据源。
- protocol：新增 ArmorHealth::decode_from，把帧头里的 sender_id 交出来——
  装甲板一直带着 MAC 派生 id 在广播，旧解码路径把它丢了，所以"装甲板下拉可选"
  不需要改固件。

几个改对了的旧问题：

- 槽位分配：旧实现只排除"槽位自己原来那个 id"，于是队伍一的板子一离线，它的槽位
  会去拿队伍二那块，两格显示同一块板子。现在候选要排除另一个槽位占着的 id。
- 帧率窗口的基线：掉线又回来的板子带着一个很大的累计帧数回来，从 0 起算会报出
  几百 fps。改成 seeded + 用"已结算窗口数"判断有没有读数。
- 密码哈希：password-hash 能解析 `$argon2id$broken` 这种截断串，于是"配置坏了"
  会被读成"密码错了"。现在要求盐与摘要都在。
- 录制文件名：同一秒停一次再开一次会用同一个名字，ffmpeg 的 -y 静默覆盖上一段。
  现在先收尾上一段再开新的，并且重名往后排号。
- 两道闸门：帧的限制与发现列表的限制分开。设置界面需要列候选摄像头，但**画面**
  不需要——旧版把两件事绑在一道闸门上，只能在"能列候选"和"挡住对手"之间二选一。

测试：protocol 15、cam-core 67、desktop 27，其中录制那条真的起 ffmpeg 并用
ffprobe 读回帧数与分辨率（只断言"文件存在"会漏掉空容器）。

desktop/core/Cargo.toml

@@ -0,0 +1,27 @@
+[package]
+name = "cam-core"
+version = "0.1.0"
+edition = "2021"
+description = "桌面端的非界面部分：UDP 接收/重组、装甲板发现、配置与密码"
+
+[dependencies]
+# 与固件共享的线路格式。用 path 而不是复制，两边不可能悄悄分叉。
+protocol = { path = "../../protocol" }
+
+anyhow = "1"
+log = "0.4"
+
+# 配置的序列化。这里与旧客户端（client/）的做法相反：那一版的配置只有十来个标量
+# 字段，手写 TOML 换来零依赖是划算的。现在配置里有 HUD 的嵌套结构和密码哈希，手写
+# 解析器的对称性成本超过了它的收益，所以换成真正的 TOML。
+serde = { version = "1", features = ["derive"] }
+toml = "0.9"
+
+# 密码哈希。Argon2id 是目前的推荐选择（内存硬），而 SHA-256 之类的快哈希对
+# 一个 4 位数字密码来说等于没有保护。
+argon2 = "0.5"
+rand = "0.9"
+
+[dev-dependencies]
+# 只用来验证喂给界面的 JSON：断言"密码哈希不在里面"这件事只能对着序列化结果做。
+serde_json = "1"