本分支（feat/form-layout-system，v4.0.4）累积多组改进，按主题分组如下。gate 全绿（tsc / eslint / jest 802）、多轮独立 review 收敛、macOS/Windows 真机验证。
实验性功能说明：本 PR 新增的若干节点类型目前为实验性、稳定性待验证，生产使用请先自行评估——WireGuard、Tailscale、Cloudflare WARP、自定义出站 JSON（Custom Outbound JSON）。其余 DNS/代理治理、诊断、设置项为常规改进。
-
组网 / endpoint 节点（实验性，稳定性待验证）
WireGuard 节点（sing-box endpoint，默认 gVisor 用户态栈，零额外提权）
Tailscale 节点（用户态 mesh，endpoint 路由由 AllowedIPs/routes 决定）
Cloudflare WARP 一键生成（匿名注册 → 填充 WireGuard 草稿）
节点表单布局系统（FormSection/FieldGrid/FieldSpan）+ ECH 可选配置 + 必填位置收敛
绕过局域网排除段（经 WireGuard/Tailscale 访问组网内设备） -
自定义出站 JSON（实验性，稳定性待验证）
作用：用户直接粘贴一份 sing-box outbound/endpoint 的 raw JSON，FlowZ 不解析其语义、仅强制注入 tag，并实时（防抖）调内核 sing-box check 探测当前内核是否兼容（✓ 兼容 / ✗ 不兼容 / 未知），即使不兼容也允许保存（留待切换支持该协议的第三方内核）。用途：让官方核未内置的第三方协议（如 snell）开箱可用，无需等 FlowZ 逐个适配。 -
TUN DNS 与 IPv6 治理（Refs https://github.com/dododook/FlowZ/issues/57）
TUN 强制接管系统 DNS（SystemDnsManager）：macOS 改系统 DNS 为可路由受控 IP；Windows/Linux 交由 strict_route(WFP)/auto_route 在路由层劫持 :53
系统代理 bypass 全清单可编辑；QUIC 阻断收口到 route 规则（移除会误杀国内 QUIC 的 blanket 防火墙）
本地端口 mixed-only（单口 HTTP+SOCKS，新装默认 7890）
clash_api 控制端口可配（config.controlPort，解 9090 被占用的死局）
enableIPv6=false 时抑制 AAAA（strategy=ipv4_only + FakeIP 去 inet6 段）：IPv4-only 节点访问双栈站时不再因浏览器试 v6 失败而 ERR_CONNECTION_CLOSED
TUN + 开 IPv6 + 关 FakeIP 时内联提示节点无 v6 风险 + 一键开 FakeIP -
诊断工具（Refs https://github.com/dododook/FlowZ/issues/57）
一键导出脱敏诊断报告（环境/运行态/脱敏 UserConfig + 生成的 sing-box 配置/日志 tail；脱敏走单一真值，公开附件零明文密钥）
诊断采集（临时提级日志 + 快照还原，崩溃自愈） -
设置体验 + 修复
设置页 IA 重构 + 导航顺序（外观前置）+ Windows 字体锐化
日志查看自动滚动开关失灵修复（断程序化滚动的反馈环）
🌹@Sway-Chan