security: 补上认证面与输入边界的四处防护

链路功能已经跑通，缺的是边界。这几处默认值都是仓库里公开已知的，忘配就等于没有认证。

- 认证端点限速：/auth/login、/auth/register 此前完全没接限速器（Limiter 只挂在代理
  Auth 上），爆破与批量建号零成本。新增 AllowWindow 滑动窗口，登录按「单 IP」和
  「单 IP×账号」两个桶（默认 30/min、10/min），注册按 IP（5/min）且在 argon2 之前拦，
  避免光靠建号请求打满 CPU；超限返回 429 + Retry-After。
- 生产启动断言：env=production 时拒绝默认 OT_JWT_SECRET、缺失或短于 16 字节的
  OT_MASTER_KEY（缺失时 NewEncryptor 会用 sha256("") 派生，渠道密文可被公开还原）、
  默认管理员密码；一次列全所有问题，不再改一个试一个。development 不拦。
- 请求体上限：parseBody 原来全量 io.ReadAll 且全项目没有一处 MaxBytesReader，
  合法密钥可把任意大 body 整份压进内存再转发。/v1 组挂 BodyLimit（默认 32MB，
  OT_PROXY_MAX_BODY_MB），超限按客户端协议返回 413 request_too_large 并点名上限。
- CORS：不再无条件反射 Origin + Allow-Credentials: true——那唯一挡住跨站凭据读取的
  是 refresh cookie 的 SameSite=Lax，改成 None 就立刻变成窃取面。改为显式白名单，
  空白名单完全不发跨域头（同源部署与 vite proxy 本来就不需要），通配 * 不配凭据；
  允许头补上 X-Api-Key / Anthropic-Version / OpenAI-*，否则浏览器里跑官方 SDK 预检会挂。
- 配套 OT_SERVER_TRUSTED_PROXIES：不配置就不信 X-Forwarded-For（防伪造头绕过 IP 限速）。

顺手删掉 .env.example 末尾重复的 OT_PROXY_LOG_RAW 段。

server/internal/api/middleware/middleware.go

@@ -3,6 +3,7 @@ package middleware
 
 import (
 	"net/http"
+	"strings"
 
 	"github.com/gin-gonic/gin"
 	"github.com/openteam/server/internal/app"
@@ -59,16 +60,37 @@ func AdminOnly(c *gin.Context) {
 	c.Next()
 }
 
-// CORS 开发期放开；生产按配置白名单（PLANNING §8）。
-func CORS() gin.HandlerFunc {
+// CORS 按显式 origin 白名单放行跨域；allow 为空则完全不输出 CORS 头。
+//
+// 同源部署（网关自己托管 web/dist）和 vite dev 的 proxy 都不需要 CORS，所以默认关是安全的。
+// 之前无条件反射 Origin 并带 Allow-Credentials: true，唯一挡住跨站凭据读取的是
+// refresh cookie 的 SameSite=Lax——那是巧合而非防线，一旦有人为了嵌 iframe 把它改成
+// None，任意站点就能带着 cookie 调 /auth/refresh 读回新 token。
+func CORS(allow []string) gin.HandlerFunc {
+	allowed := make(map[string]bool, len(allow))
+	wildcard := false
+	for _, o := range allow {
+		if o == "*" {
+			wildcard = true
+			continue
+		}
+		allowed[strings.TrimRight(o, "/")] = true
+	}
 	return func(c *gin.Context) {
 		origin := c.GetHeader("Origin")
-		if origin != "" {
-			c.Header("Access-Control-Allow-Origin", origin)
+		if origin != "" && (wildcard || allowed[strings.TrimRight(origin, "/")]) {
+			if wildcard {
+				// 通配不配凭据：/v1 靠 Authorization / x-api-key 头认证，不吃 cookie
+				c.Header("Access-Control-Allow-Origin", "*")
+			} else {
+				c.Header("Access-Control-Allow-Origin", origin)
+				c.Header("Access-Control-Allow-Credentials", "true")
+			}
 			c.Header("Vary", "Origin")
-			c.Header("Access-Control-Allow-Credentials", "true")
-			c.Header("Access-Control-Allow-Headers", "Authorization, Content-Type, X-Requested-With")
+			c.Header("Access-Control-Allow-Headers",
+				"Authorization, Content-Type, X-Requested-With, X-Api-Key, Anthropic-Version, OpenAI-Beta, OpenAI-Organization, OpenAI-Project")
 			c.Header("Access-Control-Allow-Methods", "GET, POST, PUT, PATCH, DELETE, OPTIONS")
+			c.Header("Access-Control-Max-Age", "600")
 		}
 		if c.Request.Method == http.MethodOptions {
 			c.AbortWithStatus(http.StatusNoContent)
@@ -77,3 +99,14 @@ func CORS() gin.HandlerFunc {
 		c.Next()
 	}
 }
+
+// BodyLimit 限制请求体字节数。超限后 ReadAll 会拿到 *http.MaxBytesError，
+// 由代理层按客户端协议返回 413；0 表示不限制。
+func BodyLimit(maxBytes int64) gin.HandlerFunc {
+	return func(c *gin.Context) {
+		if maxBytes > 0 {
+			c.Request.Body = http.MaxBytesReader(c.Writer, c.Request.Body, maxBytes)
+		}
+		c.Next()
+	}
+}