fix(livekit): 统一信令/媒体端口为 17880/17881/17882，修复接听后双方网络错误

根因：LiveKit 的 config/livekit.yaml 媒体端口(7881/7882)与宿主实际映射(17881/17882)不一致，
信令走 17880 能通，但媒体被宣告到 7881/7882 连不上。

- config/livekit.yaml: port/tcp_port/udp_port -> 17880/17881/17882
- docker-compose.yaml: 容器侧端口与宿主侧一致(1788x)，不再重映射
- .env.example: 默认端口改为 1788x 并注明三处需一致
- scripts/selftest.sh: LK_PORT 默认值改为 17880
- scripts/fix-livekit-ports.sh: 一键备份+对齐 .env+仅重建 livekit 的修复脚本
- README: 更新端口表、客户端接入参数与排障说明

Co-authored-by: multica-agent <github@multica.ai>

README.md

@@ -33,9 +33,9 @@
 | 10002 | TCP/HTTP | OpenIM REST API |
 | 10005 | TCP/HTTP | MinIO（图片/语音/文件下载） |
 | 10010 | TCP/HTTP | 公司账号服务（员工登录接口 + 管理页） |
-| 7880 | TCP/WS | LiveKit 信令（`.env` 的 `LIVEKIT_PORT` 可改） |
-| 7882 | UDP | LiveKit 语音媒体（`LIVEKIT_RTC_UDP_PORT` 可改） |
-| 7881 | TCP | LiveKit 媒体备用通道（`LIVEKIT_RTC_TCP_PORT` 可改） |
+| 17880 | TCP/WS | LiveKit 信令（`.env` 的 `LIVEKIT_PORT` 可改，但必须与 `config/livekit.yaml` 一致） |
+| 17882 | UDP | LiveKit 语音媒体（`LIVEKIT_RTC_UDP_PORT` 可改，同上） |
+| 17881 | TCP | LiveKit 媒体备用通道（`LIVEKIT_RTC_TCP_PORT` 可改，同上） |
 | 10004 | TCP/HTTP | MinIO 控制台（运维用，可不开放） |
 | 12379/12380 | TCP | Etcd（仅容器间用，建议不对外） |
 
@@ -79,7 +79,7 @@ docker compose up -d           # 再启动
 
 - OpenIM API: `http://<服务器IP>:10002`
 - OpenIM WebSocket: `ws://<服务器IP>:10001`
-- LiveKit: `ws://<服务器IP>:7880`（7880 为默认信令端口，可用 `.env` 的 `LIVEKIT_PORT` 改），API Key/Secret 见 `.env` 的 `LIVEKIT_API_KEY` / `LIVEKIT_API_SECRET`
+- LiveKit: `ws://<服务器IP>:17880`（17880 为默认信令端口；改端口时必须 `.env` 的 `LIVEKIT_PORT`、`config/livekit.yaml` 的 `port`、`docker-compose.yaml` 的容器侧端口三者一起改），API Key/Secret 见 `.env` 的 `LIVEKIT_API_KEY` / `LIVEKIT_API_SECRET`
 - 测试账号：`test001` / `test002`（由自测脚本注册）；语音通话时两名用户以各自 identity 进同一房间即可
 
 ## 常见问题
@@ -87,6 +87,6 @@ docker compose up -d           # 再启动
 - **文件/语音能发但打不开**：`MINIO_EXTERNAL_ADDRESS` 没写成客户端能访问的 IP。改 `.env` 后 `docker compose up -d` 重建 openim-server。
 - **启动报缺 `ETCD_USERNAME` / `KAFKA_USERNAME` 等警告**：未启用对应组件认证，官方说明可忽略。
 - **openim-server 一直 unhealthy**：`docker exec -it openim-server mage check` 看哪项依赖没通；首次启动需等 30-60 秒。
-- **livekit 启动报 `bind ... 7880/7881: address already in use`**：服务器上这些端口被别的程序占了（`ss -tlnp | grep 788` 查占用者）。不要动别人的服务，把 `.env` 里 `LIVEKIT_PORT` / `LIVEKIT_RTC_TCP_PORT` / `LIVEKIT_RTC_UDP_PORT` 改成空闲端口（如 17880/17881/17882），再 `docker compose up -d --force-recreate livekit`。之后客户端和自测脚本都用新端口（自测脚本会自动读 `.env`）。
+- **livekit 启动报 `bind ... 7880/7881: address already in use`**：服务器上这些端口被别的程序占了（`ss -tlnp | grep 788` 查占用者）。不要动别人的服务，把端口统一改成空闲端口（如 17880/17881/17882）——注意**必须三处一起改**：`.env` 的 `LIVEKIT_PORT` / `LIVEKIT_RTC_TCP_PORT` / `LIVEKIT_RTC_UDP_PORT`、`config/livekit.yaml` 的 `port` / `tcp_port` / `udp_port`、`docker-compose.yaml` 里 livekit 的容器侧端口（保持“宿主侧=容器侧”），然后 `docker compose up -d --force-recreate livekit`。只改其中一两处会导致“能邀请、能接听，但接听后双方网络错误”。
 - **livekit 日志报 `secret is too short`**：`LIVEKIT_API_SECRET` 必须 ≥32 字符，换个长密钥后重建 livekit 容器。
-- **语音通话连不上**：确认服务器 UDP 7882 放行（内网防火墙/安全组）；UDP 不通时会走 TCP 7881 兜底。
+- **语音通话连不上（接听后双方网络错误）**：先确认 `.env` / `config/livekit.yaml` / `docker-compose.yaml` 三处端口一致；再确认服务器防火墙放通 `LIVEKIT_PORT`(TCP)、`LIVEKIT_RTC_TCP_PORT`(TCP)、`LIVEKIT_RTC_UDP_PORT`(UDP)（默认 17880/17881/17882）。UDP 不通时会走 TCP 兜底。