修复 daemon 启动问题，分离 GUI 和 daemon 二进制

- 分离二进制: cmd/lmvpn (GUI+Fyne) 和 cmd/lmvpnd (daemon, 无 Fyne)
  消除 daemon 启动时的 Fyne locale 初始化错误
- 新增 daemon-launch 子命令: 用 syscall.SysProcAttr{Setsid: true}
  替代 nohup, 解决 osascript 无 TTY 时的 'Inappropriate ioctl' 错误
- daemon 日志写到用户家目录: paths.SetUserHome() 覆盖 root 默认路径
- IPC socket chown 给用户: 解决 root:wheel 0660 导致 GUI 无法连接
- 修复 JWT→密码认证回退: 捕获 ServerError{auth_err} 而非仅 AuthError
- 修复 token URL 编码: 用 url.QueryEscape 替代裸拼接
- 日志去重: LMVPN_DAEMON=1 时 daemon 不再 stderr 镜像到文件
- Makefile 构建双二进制并打包到 .app bundle

internal/vpn/session.go

@@ -188,11 +188,17 @@ func (sm *SessionManager) connectOnce(ctx context.Context, cfg SessionConfig) er
 	// Attempt JWT connection first; fall back to password on auth error.
 	conn, err := transport.Connect(ctx, handshake)
 	if err != nil {
-		var authErr *transport.AuthError
-		if errors.As(err, &authErr) && cfg.AuthMode == model.AuthModeBoth && token != "" {
-			// Retry with password auth (no token).
-			handshake.Token = ""
-			conn, err = transport.Connect(ctx, handshake)
+		if cfg.AuthMode == model.AuthModeBoth && token != "" {
+			// JWT failure can surface as AuthError (password-auth path)
+			// or ServerError with Type=auth_err (JWT rejected at /ws).
+			var authErr *transport.AuthError
+			var serverErr *transport.ServerError
+			if errors.As(err, &authErr) ||
+				(errors.As(err, &serverErr) && serverErr.Type == protocol.TypeAuthErr) {
+				log.L().Info("JWT auth failed, falling back to password auth", "error", err)
+				handshake.Token = ""
+				conn, err = transport.Connect(ctx, handshake)
+			}
 		}
 		if err != nil {
 			return err