v0.3.13

v0.3.13

修复官方桌面端中写操作全部失败的问题（issue #4）

• 官方 DeepSeek Harness Desktop 壳将页面请求转发给本地 Host 时会删除 Origin 头，此前的同源栅栏因此把桌面端内所有保存、停用、删除、导入、重启等写操作一律拒绝（403 untrusted origin），GET 请求不受影响。
• 现在，无 Origin 的请求仅在同时满足以下全部条件时放行：Host 为回环字面量、连接对端为回环、无任何代理转发痕迹头、无跨站 Sec-Fetch-Site 标记。浏览器发起的 POST 始终携带 Origin，跨站页面、Origin: null 沙箱与 DNS 重绑定请求依旧被拒。
• /restart 的信任判定同步放宽：桌面端转发而来的重启请求现在能到达路由，并得到由桌面壳接管重启的应答，而不是 403。
• 同源栅栏的判定与拒绝矩阵已补入单元测试。