v0.2.8 — Fix explicit Desktop origin

修复 Desktop 端仍返回 this route only accepts same-origin requests 的问题。

根因

部分 Desktop 请求到达插件时保留 Origin: dsh-app://app。0.2.7 只处理了 Origin 被移除、保留 Referer 的转发形式，因此仍会拒绝这种合法请求。

修复

• 在存在 Host 时接受精确的 Origin: dsh-app://app。
• 保留 0.2.7 的 dsh-app://app Referer fallback。
• 任意其他 Origin、错误 Referer、缺失 Host 继续拒绝。

验证

• 修复前现场复现：Desktop POST 返回 HTTP 403。
• JavaScript 112 项通过
• Python 47 项通过
• 包检查和 Windows 网关启动验证通过
• git diff --check 通过

安装固定版本：

dsh plugin --profile web add "github:Acoder416/dsh-plugin-workbuddy-gateway#v0.2.8"

Desktop 请完全退出后重新打开，使插件代码重新加载。账户和网关配置无需迁移。

回退到上一版：

dsh plugin --profile web add "github:Acoder416/dsh-plugin-workbuddy-gateway#v0.2.7"

GitHub Actions 的 DSH 集成任务因无法 checkout 私有 deepseek-ai/deepseek-harness 而无法运行；单元检查和包检查通过。