feat(控制台): 增加本地安全会话边界

[Dandre126]

摘要

• 新增仅 IPv4 loopback 的本地 Console HTTP listener，固定请求、header、body、并发和时间上限。
• 以一次性 bootstrap 换取内存 bearer，严格校验 Host、Origin、请求 framing，并默认拒绝 CORS 与写入方法。
• 每个 HTTP/1.1 响应都会关闭连接；不读取工作区、不启动子进程、不输出访问日志。

验证

• uv run python -m unittest discover -s tests -t . -v
• uv run ruff check src tests experiments
• uv run python -m compileall -q src tests experiments
• 隔离 wheel 安装后导入 dyro.console 与 session 模块
• 安全复审通过（无 CRITICAL/HIGH/MEDIUM）