feat: 为本地 HTTP API 增加 Token 鉴权与安全加固

- 使用 Electron safeStorage 加密存储并自动初始化 API Token
- 为 health 以外的接口增加 Bearer Token 鉴权
- 限制 CORS 仅允许可信本地 Origin
- 增加鉴权、Token rotation、safeStorage 和手动验收测试

src/shared/local-api-auth.ts

@@ -0,0 +1,14 @@
+export interface ApiTokenStatus {
+  available: boolean
+  hasToken: boolean
+  maskedToken: string
+  error?: string
+}
+
+export interface ApiTokenRevealResult extends ApiTokenStatus {
+  token?: string
+}
+
+export interface ApiTokenActionResult extends ApiTokenStatus {
+  success: boolean
+}