xcbyy 0aed11cb01 security: CORS 收敛为白名单 + 基础安全响应头 + 隐藏技术栈 ...

- CORS 默认仅同源可用，跨域需显式配置 CORS_ORIGINS（非生产默认放行 localhost:5173）

- 新增安全响应头：X-Content-Type-Options / X-Frame-Options / Referrer-Policy / X-XSS-Protection / Permissions-Policy；生产附加 HSTS

- 关闭 X-Powered-By，设置 trust proxy

- 文档补充 CORS_ORIGINS；新增回归护栏 cors-security-headers.spec.ts（85 套件/627 用例全绿）

2026-10-19 09:31:44 +08:00

..

scripts

feat(data): 新增历史数据归属订正脚本（默认 dry-run，--apply 写库）

2026-10-19 08:58:24 +08:00

src

security: CORS 收敛为白名单 + 基础安全响应头 + 隐藏技术栈

2026-10-19 09:31:44 +08:00

tests

security: CORS 收敛为白名单 + 基础安全响应头 + 隐藏技术栈

2026-10-19 09:31:44 +08:00

.env.example

feat: 完善对象存储上传与真实条码二维码引擎，彻底剥离保底Mock数据

2026-10-09 17:18:14 +08:00

jest.config.js

feat(core): 按照严格TDD模式完成活动项目(4位核销码)、订单状态机、财务分销与双身份切换核心领域服务及30项单元测试

2026-09-16 15:30:23 +08:00

package.json

feat(data): 新增历史数据归属订正脚本（默认 dry-run，--apply 写库）

2026-10-19 08:58:24 +08:00

pnpm-lock.yaml

feat: 完善对象存储上传与真实条码二维码引擎，彻底剥离保底Mock数据

2026-10-09 17:18:14 +08:00

tsconfig.json

feat(core): 按照严格TDD模式完成活动项目(4位核销码)、订单状态机、财务分销与双身份切换核心领域服务及30项单元测试

2026-09-16 15:30:23 +08:00