2.1.0 — 引擎错误可见性 + GHAM 快速质检直连

变更

• feat(api) — /api/* 加 CORS 白名单（SCORECARD_CORS_ORIGINS 可配）：GHAM 项目详情页的「快速质检」直连本服务，白名单收紧到具体域名，非名单来源不回 Allow-Origin 头。附白名单/预检回归测试。

修复

• fix(api) — 引擎错误线上只见「error code: 502」，真实原因被 Cloudflare 吞掉。引擎报错（仓库不存在 / npm 包不存在 / 网页打不开 / GitHub 限流 / 上游超时）一律回 502，而部署在 Cloudflare Tunnel 后面，代理会把 502 响应体整个换成自己的错误页。改为各引擎在错误现场带 errorStatus（404 = 目标不存在，429 = 被上游限流，400 = 请求问题，503 = 上游故障），API 原样采用，绝不出 502/504；getOrAudit 同时收住引擎抛出的网络层异常。附 mock 网络层回归测试。

全量：50 测试全绿；两处改动均已部署到线上并公网实测。