feat(webcrt): add CRT-style browser terminal for managed and UME NEs

Ship an ops WebCRT module with xterm.js UI, WebSocket session bridge reusing hop/bastion login, searchable paged targets, and session audit limits.

Co-authored-by: Cursor <cursoragent@cursor.com>

web/WEB.md

@@ -35,6 +35,7 @@ src/
 | `/ume` | UME 同步 | `ume` |
 | `/ne` | 网元管理 | `managed-ne` |
 | `/collect` | 批量采集 | `collect` |
+| `/webcrt` | WebCRT 终端 | `webcrt` |
 
 **新增模块只需改 `config/modules.ts`：**
 
@@ -75,6 +76,15 @@ src/
 - 采集日志目录：`NETX_NE_COLLECTION_DATA_DIR`（默认 `data/ne_collections`）
 - 命令每行一条，`#` 为注释；输出格式与旧版 NetX 采集 `.txt` 一致
 
+## WebCRT
+
+- API：`POST /v1/webcrt/sessions`（`ne_id` 或 `ume_ne_id`）、`WS /v1/webcrt/sessions/{id}/ws`、`DELETE /v1/webcrt/sessions/{id}`
+- 目标列表复用 `/v1/cli/targets`（托管 + UME，搜索分页；`source=all|managed|ume`）
+- 凭据：托管走网元自身账号；UME 走 CLI 连接模板（`resolve_cli_target`）
+- 前端：CRT 风格左右分栏（会话管理 + 多标签终端）
+- 审计：`NETX_WEBCRT_DATA_DIR`（默认 `data/webcrt/audit.jsonl`）
+- 限流：`NETX_WEBCRT_MAX_SESSIONS`、`NETX_WEBCRT_IDLE_TIMEOUT_SEC`
+
 ## Toast
 
 - 使用 `ToastProvider`（`main.tsx`）+ `useToast()`