security: CORS 收敛为白名单 + 基础安全响应头 + 隐藏技术栈

- CORS 默认仅同源可用，跨域需显式配置 CORS_ORIGINS（非生产默认放行 localhost:5173）

- 新增安全响应头：X-Content-Type-Options / X-Frame-Options / Referrer-Policy / X-XSS-Protection / Permissions-Policy；生产附加 HSTS

- 关闭 X-Powered-By，设置 trust proxy

- 文档补充 CORS_ORIGINS；新增回归护栏 cors-security-headers.spec.ts（85 套件/627 用例全绿）

docs/部署验收与1分钱支付闭环.md

@@ -25,6 +25,9 @@ MYSQL_DATABASE=peiwan
 # ORDER_TIMEOUT_SCAN_MS=60000
 # DISABLE_ORDER_TIMEOUT_SCAN=0
 
+# 可选：跨域白名单（逗号分隔；默认仅同源可用，小程序/服务端调用不受影响）
+# CORS_ORIGINS=https://admin.example.com,https://h5.example.com
+
 # 可选：微信（若已在后台"微信支付配置"页填写，则无需在这里重复；后台配置优先）
 # WX_APP_ID=...
 # WX_APP_SECRET=...