feat: first-run claim wizard (no default admin, claim code from the backend log); owner list shows account and passkey; container install first [CI]

web/admin/src/pages/JoinTokenCreated.tsx

@@ -21,21 +21,21 @@ export function JoinTokenCreated({ created, kind, onClose }: { created: CreatedJ
       <div className="stack">
         <div className="notice warn">命令里的代码只显示这一次，请现在就复制。命令里只有公开的值（面板地址、一次性码、信任根指纹和属主），没有任何私钥。</div>
         <Field
-          label={`在要加入的机器上运行（${kind}）`}
+          label={`容器安装（推荐）：在要加入的机器上运行（${kind}）`}
           hint="需要 Docker 或 Podman。命令会先下载安装脚本并核对它的 SHA-256，不一致就不执行；节点名字默认取主机名；身份和配置存在命名卷里，重启、换新镜像重建容器都不用再给参数。名字想自己定，或者提示名字被占用，在命令里加上 MOSHIRO_NAME=名字（Linux 和 macOS 写在 bash 或 zsh 前面，Windows 先执行 $env:MOSHIRO_NAME='名字'）。"
         >
           <CommandTabs
             storageKey="moshiro.install_tab"
             initial={guessPlatform()}
             tabs={[
-              { id: 'linux', label: 'Linux', command: commands.linux },
-              { id: 'macos', label: 'macOS', command: commands.macos },
-              { id: 'windows', label: 'Windows', command: commands.windows },
+              { id: 'linux', label: 'Linux · 容器', command: commands.linux },
+              { id: 'macos', label: 'macOS · 容器', command: commands.macos },
+              { id: 'windows', label: 'Windows · 容器', command: commands.windows },
             ]}
           />
         </Field>
         <p className="muted">
-          {kind === 'Agent' ? (created.token.auto_approve ? '使用它注册的 Agent 会自动启用。' : '使用它注册的 Agent 需要你在列表里审批之后才会启用。') : ''}
+          容器方式是首选：镜像按 CI 签名的清单固定到 digest，宿主机更新器能自己更新它，属主和信任根在注册时固定。{kind === 'Agent' ? (created.token.auto_approve ? '使用它注册的 Agent 会自动启用。' : '使用它注册的 Agent 需要你在列表里审批之后才会启用。') : ''}
           可用 {created.token.max_uses} 次，{fmtTime(created.token.expires_at)} 过期。
         </p>
       </div>