Aska
20305631c5
后端 go:embed 自服务前端时，页面 origin 与网关 Host 一致（production 模式）， 但不在 dev 阶段 ALLOWED_ORIGINS（5173/3000）白名单内，originChecker 记 403 导致 WS /ws/chat 握手失败。 改为：同源（origin host == request host）及 loopback 别名（localhost<->127.0.0.1） 自动放行；跨源（不同主机名）仍走白名单。安全不降级：跨源非白名单依旧拒绝。 新增 TestOriginCheckerSameHost 覆盖同源/loopback等效/跨源拒绝/同主机异端口。