feat(log): 启动日志打印真实可访问地址，回环绑定时显式告警

绑定 0.0.0.0 时日志直接拼 http://0.0.0.0:3000——浏览器打不开，
排障时只会看到"已启动"却不知道访问哪个 IP。

- 新增 src/config/access-hint.ts：describeAccess() 把绑定地址翻译成
  监听描述 + 可访问地址（回环 / 具体网卡 / 通配取真实网卡 IPv4）；
  独立成模块是为了可测——main.ts 顶层会执行 bootstrap()，不能被 import
- main.ts：启动日志改为「监听 …（全部网卡，外部可访问）」+ 真实访问地址；
  HOST=127.0.0.1 时用 warn 明确提示"只能本机访问"并给出修复方法
- 新增 test/access-log.spec.ts（4 项）覆盖三种绑定模式，
  断言通配模式绝不出现 0.0.0.0 形式的 URL

实测三种模式日志输出正确；单测 35/35、契约与 29 条路由校验通过。

web-server/test/access-log.spec.ts

@@ -0,0 +1,40 @@
+import { describe, expect, it } from 'vitest';
+import { describeAccess } from '../src/config/access-hint';
+
+/**
+ * 启动日志里"该访问哪个地址"必须与真实绑定一致。
+ * 之前的写法直接把 bindHost 拼进 URL，绑定 0.0.0.0 时会打印
+ * http://0.0.0.0:3000——浏览器打不开，排障时会被误导。
+ */
+describe('启动日志的访问地址推导', () => {
+  it('绑定回环时只给回环地址，并明确标注仅本机可访问', () => {
+    for (const host of ['127.0.0.1', 'localhost', '::1']) {
+      const { listen, urls } = describeAccess(host, 3000);
+      expect(listen).toContain(host);
+      expect(listen).toContain('仅本机可访问');
+      expect(urls).toEqual([`http://${host}:3000`]);
+    }
+  });
+
+  it('绑定通配地址时给出回环 + 真实网卡地址，且绝不出现 0.0.0.0', () => {
+    for (const host of ['0.0.0.0', '::', '*', '']) {
+      const { listen, urls } = describeAccess(host, 3000);
+      expect(listen).toContain('全部网卡');
+      expect(urls[0]).toBe('http://127.0.0.1:3000');
+      expect(urls.every((url) => !url.includes('0.0.0.0'))).toBe(true);
+      // 至少要有回环地址可用
+      expect(urls.length).toBeGreaterThanOrEqual(1);
+    }
+  });
+
+  it('绑定具体网卡时只给该地址，并提示范围', () => {
+    const { listen, urls } = describeAccess('192.168.150.20', 8080);
+    expect(listen).toBe('192.168.150.20:8080（仅该地址可访问）');
+    expect(urls).toEqual(['http://192.168.150.20:8080']);
+  });
+
+  it('端口号被完整带进每个地址', () => {
+    expect(describeAccess('0.0.0.0', 3123).urls.every((url) => url.endsWith(':3123'))).toBe(true);
+    expect(describeAccess('10.0.0.1', 80).urls).toEqual(['http://10.0.0.1:80']);
+  });
+});