refactor: 修复9项中等架构问题

安全修复:
- WebSocket 端点添加认证（cookie/token），防止未授权窃听日志
- SPA serve_spa 添加路径遍历防护（resolve + relative_to 检查）
- Token 改用 httpOnly Cookie 存储，移除前端 localStorage token（防 XSS 窃取）
- 添加安全响应头中间件（X-Content-Type-Options/X-Frame-Options/Referrer-Policy）
- HTTP 请求日志脱敏请求体中的 password/secret/token 等敏感字段
- 权限检查统一使用 user_has_permission（考虑自定义权限，修复 has_permission 忽略 custom_permissions 的缺陷）

性能与稳定性:
- cookies.py 列表接口修复 N+1 查询（改为批量查询 Account）
- login_service.py run() 结束时关闭 DB Session（防止连接泄漏）
- _active_batches/_active_tests 全局字典添加 threading.Lock（防止并发竞态）

配置优化:
- CORS 源支持环境变量 CORS_ORIGINS 配置
- Uvicorn reload 支持环境变量 UVICORN_RELOAD 控制（生产环境默认关闭）
- Cookie 安全标志支持环境变量 COOKIE_SECURE 配置（HTTPS 部署时启用）
- logs.py 权限不足返回 HTTP 403（原来返回 200 + message）

web/backend/routers/accounts.py

@@ -9,7 +9,7 @@ from ..database import get_db
 from ..models import User, Account, AuditLog, LoginTask
 from ..schemas import AccountImport, AccountAssign, AccountTag, AccountOut, BatchAssign
 from ..deps import get_current_user, require_permission
-from ..permissions import has_permission
+from ..permissions import user_has_permission
 from sqlalchemy import func
 from sqlalchemy.orm import joinedload
 
@@ -53,13 +53,13 @@ def list_accounts(
         query = query.filter(Account.id.in_(_cookie_account_ids_query(db)))
 
     # 权限控制：客服只能看分配给自己的
-    if not has_permission(current.role, "account:view_all"):
-        if has_permission(current.role, "account:view_assigned"):
+    if not user_has_permission(current, "account:view_all"):
+        if user_has_permission(current, "account:view_assigned"):
             query = query.filter(Account.assigned_to == current.id)
         else:
             raise HTTPException(status_code=403, detail="无权查看账号")
 
-    if assigned_only and has_permission(current.role, "account:view_all"):
+    if assigned_only and user_has_permission(current, "account:view_all"):
         query = query.filter(Account.assigned_to.isnot(None))
 
     if tag:
@@ -76,7 +76,7 @@ def list_accounts(
             created_at=acc.created_at,
         )
         # 运营+超管可看完整字段
-        if has_permission(current.role, "account:view_all"):
+        if user_has_permission(current, "account:view_all"):
             item.password = acc.password
             item.email = acc.email
             item.email_password = acc.email_password