docs: add step-by-step Windows installation

src/client-installer.ts

@@ -481,11 +481,13 @@ function installResult(
   postInstall: PostInstallResult,
 ): Record<string, unknown> {
   const nextSteps = [
-    "按当前 Agent 的官方方式安装 skillPath，并添加名为 dingtalk-approval 的 stdio MCP。",
-    "立即处理 postInstall：若有 authChallenge.directUrl，必须在当前回复中原样展示，不得声称已另行推送，也不得等待用户首次查询审批。",
-    "用户授权后调用 approval_login；登录成功后按 verifyTool 做一次双来源只读验证，并展示一次性使用示例。",
-    "宿主若不能热加载 MCP，请新建会话或完整重启；恢复上述登录流程后再宣告安装完成，不得执行任何审批写操作。",
-    "登录链接过期时绝不重新安装：MCP 已加载就再次调用 approval_login；尚未加载就执行 loginCommand。",
+    "1. 检查 ok=true，并保存 cliPath、skillPath、mcpConfig、loginCommand 和 postInstall；不得自行猜测或改写路径。",
+    "2. 按当前 Agent 的官方方式安装整个 skillPath，并只新增或替换名为 dingtalk-approval 的本地 stdio MCP。必须原样使用 mcpConfig；Windows 保留返回的 .cmd command 和空 args，禁止把网关 URL 配成 MCP。",
+    "3. 按当前 Agent 的官方流程信任连接器；不能热加载时完整重启 Agent或新建会重新读取 MCP 配置的会话。",
+    "4. 立即处理 postInstall：若有 authChallenge.directUrl，必须在当前回复中原样展示，不得声称已另行推送，也不得等待用户首次查询审批。",
+    "5. 用户授权后调用 approval_login；登录成功后按 verifyTool 做一次双来源只读验证，确认钉钉 OA 与薪福通均为 ok，并展示一次性使用示例。",
+    "6. 登录链接过期时绝不重新安装：MCP 已加载就再次调用 approval_login；尚未加载就执行 loginCommand。",
+    "7. 登录和双来源验证全部完成前不得宣告可用；安装期间不得执行任何审批写操作。",
   ];
   return {
     ok: true,