refactor: 修复9项中等架构问题

安全修复:
- WebSocket 端点添加认证（cookie/token），防止未授权窃听日志
- SPA serve_spa 添加路径遍历防护（resolve + relative_to 检查）
- Token 改用 httpOnly Cookie 存储，移除前端 localStorage token（防 XSS 窃取）
- 添加安全响应头中间件（X-Content-Type-Options/X-Frame-Options/Referrer-Policy）
- HTTP 请求日志脱敏请求体中的 password/secret/token 等敏感字段
- 权限检查统一使用 user_has_permission（考虑自定义权限，修复 has_permission 忽略 custom_permissions 的缺陷）

性能与稳定性:
- cookies.py 列表接口修复 N+1 查询（改为批量查询 Account）
- login_service.py run() 结束时关闭 DB Session（防止连接泄漏）
- _active_batches/_active_tests 全局字典添加 threading.Lock（防止并发竞态）

配置优化:
- CORS 源支持环境变量 CORS_ORIGINS 配置
- Uvicorn reload 支持环境变量 UVICORN_RELOAD 控制（生产环境默认关闭）
- Cookie 安全标志支持环境变量 COOKIE_SECURE 配置（HTTPS 部署时启用）
- logs.py 权限不足返回 HTTP 403（原来返回 200 + message）

web/backend/routers/cookies.py

@@ -10,7 +10,7 @@ import csv
 from ..database import get_db
 from ..models import User, LoginTask, Account
 from ..deps import get_current_user, require_permission
-from ..permissions import has_permission
+from ..permissions import user_has_permission
 
 
 def _fmt_dt(dt) -> str | None:
@@ -33,15 +33,23 @@ def list_cookies(
     query = db.query(LoginTask).filter(LoginTask.status == "success")
 
     # 客服只能看自己账号的
-    if not has_permission(current.role, "login:view_all"):
+    if not user_has_permission(current, "login:view_all"):
         query = query.join(Account, LoginTask.account_id == Account.id).filter(
             Account.assigned_to == current.id
         )
 
     tasks = query.order_by(LoginTask.finished_at.desc()).all()
+
+    # 批量查账号，避免 N+1 查询
+    account_ids = [t.account_id for t in tasks]
+    accounts_map = {}
+    if account_ids:
+        accs = db.query(Account).filter(Account.id.in_(account_ids)).all()
+        accounts_map = {a.id: a for a in accs}
+
     result = []
     for t in tasks:
-        acc = db.query(Account).filter(Account.id == t.account_id).first()
+        acc = accounts_map.get(t.account_id)
         item = {
             "id": t.id,
             "batch_id": t.batch_id,
@@ -52,7 +60,7 @@ def list_cookies(
             "created_at": _fmt_dt(t.finished_at),
         }
         # 只有有 cookie:view 权限才返回 cookie 内容
-        if has_permission(current.role, "cookie:view"):
+        if user_has_permission(current, "cookie:view"):
             cookie = t.cookie or ""
             item["cookie"] = cookie
             item["cookie_preview"] = cookie[:50] + "..." if len(cookie) > 50 else cookie