v0.2.7 — Support Desktop forwarded requests

修复 DSH Desktop 中所有 POST 操作被拒绝的问题。

根因

Desktop 页面使用 dsh-app://app，转发到插件本地 HTTP 服务时会移除 Origin，但保留 Referer。旧版插件在缺少 Origin 时直接判定为跨域，因此网关重启、账号操作和模型路由写入都会返回 403。

修复

• 当 Origin 缺失时，仅接受 Referer 的协议为 dsh-app: 且主机为 app 的 Desktop 请求。
• 显式的恶意 Origin、错误 Referer、缺失 Host 仍然拒绝。
• 增加 Desktop 同源校验回归测试。

验证

• JavaScript 111 项通过
• Python 47 项通过
• 包检查和 Windows 网关启动验证通过
• Desktop 健康接口加载插件版本 0.2.7
• Desktop Referer 转发的 POST 返回 HTTP 200

安装固定版本：

dsh plugin --profile web add "github:Acoder416/dsh-plugin-workbuddy-gateway#v0.2.7"

Desktop 当前 profile 已切换到本地源码链接。若恢复 GitHub 安装，请完全退出 Desktop 后执行上面的安装命令，再重新打开应用。

回退到上一版：

dsh plugin --profile web add "github:Acoder416/dsh-plugin-workbuddy-gateway#v0.2.6"

GitHub Actions 的 DSH 集成任务因无法 checkout 私有 deepseek-ai/deepseek-harness 而无法运行；单元检查和包检查通过。