feat(automation): CK 自动重登（P1b）+ 失败分型与待人工队列

P1a 的巡检只产出「谁失效了」的清单，不兑现修复：1,356 个失效账号仍要人工逐个
选集→点重登→过滑块。线上实测 20 个失效账号重登 20/20 成功（2 分 13 秒、零极验），
证实失效是会话级过期而非凭证问题，可救量约 1,350。

后端：
- 迁移 20261002_0038：login_tasks 加 relogin_failure_kind（枚举），供作业决定
  「继续退避重试」还是「转人工」；不用 attempt_message 做字符串匹配（文案一改
  就失效，页面也要按类型筛选）；
- jobs/ck_relogin.py：
  - 候选 = 巡检判定 invalid + 允许自动管理 + 无在途尝试 + 退避到期 + 未超每日上限
    + **未转人工**（极验/凭证问题不再自动重登）；
  - 复用 LoginBatchRunner(mode="relogin")，成功才替换 CK（沿用既有安全语义）。
    自动化身份取最早的超管做 created_by，权限给 login:view_all 以免受归属限制；
    总时长上限压到 240 秒，避免长时间占住调度线程；
  - settle_results() 独立成纯函数便于单测：成功清空退避状态；失败按分型分流 ——
    captcha/credential 转人工（不排期）、email_quota 退避到次日零点+随机抖动、
    email_code/interrupted/network 走 1h→3h→12h→24h 阶梯；次数用尽也停下等人工；
  - 未知文案默认按可重试处理（有每日上限兜底），别把可能只是抖动的账号推给人工；
- 注册第二个作业「CK 自动重登」（batch 10 / 并发 3，**默认关闭**）；
- 新增 GET /api/automation/manual-queue：按原因分组列出待人工处理的账号。可重试
  类型但已无下次排期的（次数用尽）单独成组 —— 否则会混进「验证码失败」里，客服
  看不出这个已经不会再自动试了。

前端：
- /automation 页新增「待人工处理」卡片，按分型分组展示（极验要过滑块、凭证要核对、
  次数用尽要人工确认），各带账号与最近失败原因。

测试：新增 26 条（分型顺序陷阱「上限」优先于「验证码」、退避阶梯、配额退避次日、
候选筛选、MySQL 方言编译、结算、待人工队列分组）。
提交前全量 297 通过、ruff 全绿、前端 tsc 通过。

注意：提交时另一路「测试改用 MySQL」的改造正在同一工作区进行，本次刻意只暂存
本功能相关文件，未触碰 tests/conftest.py、tests/support/ 及对方已转换的测试文件。

web/backend/migrations/versions/20261002_0038_relogin_failure_kind.py

@@ -0,0 +1,41 @@
+"""登录记录增加自动重登的失败分型字段。
+
+P1b 的自动重登不能把「失败」笼统对待：线上 415 个失败里，极验滑块（144）与
+凭证问题必须转人工，而取码失败（144）与中断（121）其实可自动重试 —— 不分型
+就会把 265 个可救名额一起推给人工。
+
+这个字段落分型结果，供作业决定「继续退避重试」还是「转人工」；页面也按它分组
+展示待处理项。不要用 attempt_message 做字符串匹配：文案一改就失效。
+"""
+
+from collections.abc import Sequence
+
+import sqlalchemy as sa
+from alembic import op
+
+revision: str = "20261002_0038"
+down_revision: str | None = "20261002_0037"
+branch_labels: str | Sequence[str] | None = None
+depends_on: str | Sequence[str] | None = None
+
+
+def upgrade() -> None:
+    bind = op.get_bind()
+    columns = {item["name"] for item in sa.inspect(bind).get_columns("login_tasks")}
+    if "relogin_failure_kind" not in columns:
+        op.add_column(
+            "login_tasks",
+            sa.Column(
+                "relogin_failure_kind",
+                sa.String(length=16),
+                nullable=False,
+                server_default="",
+            ),
+        )
+
+
+def downgrade() -> None:
+    bind = op.get_bind()
+    columns = {item["name"] for item in sa.inspect(bind).get_columns("login_tasks")}
+    if "relogin_failure_kind" in columns:
+        op.drop_column("login_tasks", "relogin_failure_kind")