feat: 为本地 HTTP API 增加 Token 鉴权与安全加固

- 使用 Electron safeStorage 加密存储并自动初始化 API Token
- 为 health 以外的接口增加 Bearer Token 鉴权
- 限制 CORS 仅允许可信本地 Origin
- 增加鉴权、Token rotation、safeStorage 和手动验收测试

src/shared/local-api-auth.ts

@@ -0,0 +1,14 @@
+export interface ApiTokenStatus {
+  available: boolean
+  hasToken: boolean
+  maskedToken: string
+  error?: string
+}
+
+export interface ApiTokenRevealResult extends ApiTokenStatus {
+  token?: string
+}
+
+export interface ApiTokenActionResult extends ApiTokenStatus {
+  success: boolean
+}

src/shared/local-api-test.ts

@@ -38,6 +38,17 @@ export interface LocalApiTestResponse {
   contentType?: string
   json?: unknown
   bodyText?: string
-  errorCode?: 'API_NOT_RUNNING' | 'CONNECTION_REFUSED' | 'TIMEOUT' | 'INVALID_REQUEST' | 'UNKNOWN'
+  errorCode?:
+    | 'API_NOT_RUNNING'
+    | 'TOKEN_UNAVAILABLE'
+    | 'CONNECTION_REFUSED'
+    | 'TIMEOUT'
+    | 'INVALID_REQUEST'
+    | 'UNKNOWN'
+  error?: string
+}
+
+export interface LocalApiCurlCopyResult {
+  success: boolean
   error?: string
 }