refactor: 修复9项中等架构问题

安全修复:
- WebSocket 端点添加认证（cookie/token），防止未授权窃听日志
- SPA serve_spa 添加路径遍历防护（resolve + relative_to 检查）
- Token 改用 httpOnly Cookie 存储，移除前端 localStorage token（防 XSS 窃取）
- 添加安全响应头中间件（X-Content-Type-Options/X-Frame-Options/Referrer-Policy）
- HTTP 请求日志脱敏请求体中的 password/secret/token 等敏感字段
- 权限检查统一使用 user_has_permission（考虑自定义权限，修复 has_permission 忽略 custom_permissions 的缺陷）

性能与稳定性:
- cookies.py 列表接口修复 N+1 查询（改为批量查询 Account）
- login_service.py run() 结束时关闭 DB Session（防止连接泄漏）
- _active_batches/_active_tests 全局字典添加 threading.Lock（防止并发竞态）

配置优化:
- CORS 源支持环境变量 CORS_ORIGINS 配置
- Uvicorn reload 支持环境变量 UVICORN_RELOAD 控制（生产环境默认关闭）
- Cookie 安全标志支持环境变量 COOKIE_SECURE 配置（HTTPS 部署时启用）
- logs.py 权限不足返回 HTTP 403（原来返回 200 + message）

web/frontend/src/App.tsx

@@ -12,14 +12,14 @@ import ProxyPage from './pages/ProxyPage';
 import UsersPage from './pages/UsersPage';
 import CookiePage from './pages/CookiePage';
 import HttpLogsPage from './pages/HttpLogsPage';
-import { getToken } from './store/auth';
+import { getUser } from './store/auth';
 import { ThemeProvider, useTheme } from './store/theme';
 
 function AppContent() {
   // 用 state 驱动重渲染，登录/登出时调 refreshAuth()
   const [authVersion, setAuthVersion] = useState(0);
   const refreshAuth = useCallback(() => setAuthVersion((v) => v + 1), []);
-  const isLoggedIn = !!getToken();
+  const isLoggedIn = !!getUser();
   const { isDark } = useTheme();
 
   return (

web/frontend/src/api/index.ts

@@ -3,15 +3,7 @@ import axios from 'axios';
 const api = axios.create({
   baseURL: '/api',
   timeout: 30000,
-});
-
-// 请求拦截：携带 token
-api.interceptors.request.use((config) => {
-  const token = localStorage.getItem('token');
-  if (token) {
-    config.headers.Authorization = `Bearer ${token}`;
-  }
-  return config;
+  withCredentials: true, // 携带 httpOnly cookie
 });
 
 // 响应拦截：统一错误处理
@@ -19,7 +11,6 @@ api.interceptors.response.use(
   (response) => response.data,
   (error) => {
     if (error.response?.status === 401) {
-      localStorage.removeItem('token');
       localStorage.removeItem('user');
       window.location.href = '/login';
     }

web/frontend/src/pages/LoginPage.tsx

@@ -23,7 +23,7 @@ export default function LoginPage({ onLogin }: { onLogin?: () => void }) {
         role: result.role,
         permissions: result.permissions,
       };
-      setAuth(result.access_token, user);
+      setAuth(user);
       message.success('登录成功');
       onLogin?.();       // 触发 App 重渲染
       navigate('/', { replace: true });

web/frontend/src/store/auth.ts

@@ -8,12 +8,10 @@ export interface AuthUser {
   permissions: string[];
 }
 
-const TOKEN_KEY = 'token';
 const USER_KEY = 'user';
 
-export function getToken(): string | null {
-  return localStorage.getItem(TOKEN_KEY);
-}
+// Token 存储在 httpOnly cookie 中，JS 无法读取，防 XSS 窃取
+// 前端仅用 localStorage 存储用户信息（非敏感），用于判断登录状态和显示
 
 export function getUser(): AuthUser | null {
   const raw = localStorage.getItem(USER_KEY);
@@ -25,28 +23,27 @@ export function getUser(): AuthUser | null {
   }
 }
 
-export function setAuth(token: string, user: AuthUser) {
-  localStorage.setItem(TOKEN_KEY, token);
+export function setAuth(user: AuthUser) {
   localStorage.setItem(USER_KEY, JSON.stringify(user));
 }
 
 export function clearAuth() {
-  localStorage.removeItem(TOKEN_KEY);
   localStorage.removeItem(USER_KEY);
 }
 
 export async function fetchCurrentUser(): Promise<AuthUser | null> {
-  const token = getToken();
-  if (!token) return null;
+  // 通过 /me 接口验证 cookie 是否有效
   try {
     const data = await authApi.me();
-    return {
+    const user: AuthUser = {
       id: data.id,
       username: data.username,
       role: data.role,
       role_label: data.role_label,
       permissions: data.permissions,
     };
+    setAuth(user);
+    return user;
   } catch {
     clearAuth();
     return null;