修复登录自启的权限问题：低完整性目录、日志兜底与数据目录自检

登录任务本身没问题（InteractiveToken + HighestAvailable + --minimized），
ICACLS 也没有拒绝 ACE；真因是 exe 所在的 D:\dsh workspace 带 Low 强制标签，
Windows 用低完整性令牌运行这里的 exe，它写不了中完整性的 %LOCALAPPDATA%，
于是第一步写日志就 UnauthorizedAccessException，托盘起不来。

- FileLog 改为 fail-safe：首选目录失败依次回退 LocalLow / TEMP / ProgramData，
  缓存待写行，永不抛异常，暴露 ActiveDirectory 与 LastFailure；
- 启动自检增加数据目录可写性探测，致命对话框写出真实日志目录与低完整性判断；
- 新增 --logcheck 只读自检：输出程序路径、数据目录可写性、实际日志目录与结论；
- README 增加放置目录说明，validation.md 记录第八轮；
- 新增两条 FileLog 回归测试（本地 49/49，探测 16/16，Release 0 警告 0 错误）。

README.md

@@ -33,6 +33,12 @@ Windows 上的主路由 / 旁路由保活工具。旁路由连续检测失败时
 
 手动启动时一定会弹出面板（登录任务用 `--minimized` 启动，只驻留托盘），不会再让人以为程序没启动而反复双击。
 
+### 放在哪个目录运行
+
+程序要改路由和 DNS，会以管理员身份运行，请把它放在自己的用户目录下，例如 `%LOCALAPPDATA%\Programs\GatewayKeepalive\`。
+
+不要从“低完整性”目录（沙箱、共享、被打了 Low 标签的目录，例如本机开发目录 `D:\dsh workspace` 下的产物）启动：Windows 会用低完整性令牌运行那里的 exe，它连自己的 `%LOCALAPPDATA%` 都写不了，登录自启就会停在“Access to the path … is denied”。判断办法是跑一次 `.\GatewayKeepalive.exe --logcheck`，看输出里的“数据目录 … 可写=True/False”和“实际目录”。程序也有兜底：首选日志目录写不了会依次退到 `%LOCALAPPDATA%Low`、`%TEMP%`、`%ProgramData%`，并在日志里写明“日志目录改为 …”，但数据目录（`session.json`、`settings.json`）必须是可写的用户目录。
+
 - 左键图标：显示/隐藏面板；Esc 或点外部：收起面板。
 - 自动：按连续阈值和冷却切换；直连/旁路由：固定模式，失败时提示。
 - 暂停：继续监测，停止自动改网络。