refactor: 修复9项中等架构问题

安全修复:
- WebSocket 端点添加认证（cookie/token），防止未授权窃听日志
- SPA serve_spa 添加路径遍历防护（resolve + relative_to 检查）
- Token 改用 httpOnly Cookie 存储，移除前端 localStorage token（防 XSS 窃取）
- 添加安全响应头中间件（X-Content-Type-Options/X-Frame-Options/Referrer-Policy）
- HTTP 请求日志脱敏请求体中的 password/secret/token 等敏感字段
- 权限检查统一使用 user_has_permission（考虑自定义权限，修复 has_permission 忽略 custom_permissions 的缺陷）

性能与稳定性:
- cookies.py 列表接口修复 N+1 查询（改为批量查询 Account）
- login_service.py run() 结束时关闭 DB Session（防止连接泄漏）
- _active_batches/_active_tests 全局字典添加 threading.Lock（防止并发竞态）

配置优化:
- CORS 源支持环境变量 CORS_ORIGINS 配置
- Uvicorn reload 支持环境变量 UVICORN_RELOAD 控制（生产环境默认关闭）
- Cookie 安全标志支持环境变量 COOKIE_SECURE 配置（HTTPS 部署时启用）
- logs.py 权限不足返回 HTTP 403（原来返回 200 + message）

utils/http_logger.py

@@ -51,6 +51,47 @@ def _safe_headers(headers: Any) -> dict:
     return safe
 
 
+# 请求体中需要脱敏的字段名（小写匹配，包含即遮罩）
+_SENSITIVE_BODY_KEYS = {
+    'password', 'pwd', 'passwd', 'secret', 'token', 'apikey', 'api_key',
+    'email_password', 'mm', 'authorization', 'credential',
+}
+
+
+def _safe_body(body: Any) -> str:
+    """清理请求体中的敏感字段值。
+
+    支持 dict、JSON 字符串、其他类型。
+    敏感字段的值会被替换为 ***，其余内容保留（仍受 _truncate 限制）。
+    """
+    if body is None:
+        return ""
+
+    # 尝试解析 JSON 字符串
+    parsed = body
+    if isinstance(body, str):
+        try:
+            parsed = json.loads(body)
+        except (json.JSONDecodeError, ValueError):
+            # 非 JSON 字符串，直接截断
+            return _truncate(body)
+
+    # dict 类型：遮罩敏感字段
+    if isinstance(parsed, dict):
+        safe = {}
+        for k, v in parsed.items():
+            if any(s in k.lower() for s in _SENSITIVE_BODY_KEYS):
+                safe[k] = '***'
+            elif isinstance(v, (dict, list)):
+                safe[k] = _safe_body(v) if isinstance(v, dict) else _truncate(str(v))
+            else:
+                safe[k] = v
+        return _truncate(json.dumps(safe, ensure_ascii=False))
+
+    # 其他类型：直接截断
+    return _truncate(str(body))
+
+
 def log_http(
     category: str,
     method: str,
@@ -93,7 +134,7 @@ def log_http(
         "proxy": proxy,
         "request": {
             "headers": _safe_headers(request_headers),
-            "body": _truncate(request_body),
+            "body": _safe_body(request_body),
         },
         "response": {
             "status_code": status_code,