feat: allow wildcard web origins for local tunnel testing

docs/acceptance.md

@@ -1,33 +1,35 @@
-# 首版验收（2026-10-01，Asia/Hong_Kong）
-
-代码位于 E:\WorthPath，远程 origin 为用户指定 GitHub 仓库，分支 main。初始目录和仓库为空；没有覆盖已有项目文件。已有其他程序占用 API 默认端口，因此本项目使用 3100，前端使用 5173。
-
-已验证：
-
-- 后端和前端类型检查、生产构建通过。
-- 13 项单元测试通过：Decimal 精度、负债符号、缺失汇率、历史更正、汇率/余额归因、大额金额、输入和备份校验、固定公共汇率请求与失败保护。
-- 真实 MySQL 集成测试通过：注册、密码哈希、登录退出、会话失效、同源写入限制、双用户资源与历史隔离、客户端 userId 拒绝、信用卡负债、债务关联不重复求和、余额变化、同日多次更新、更正、还款金额和负债类型校验、归档金额编辑限制。
-- 备份不含认证数据；预览验证、明确确认、恢复后 ID 重建与关联保留、重复导入拒绝、已导入项目修改后重复导入仍拒绝、两请求并发导入仅一次成功，失败没有留下部分项目。
-- 四次可追踪迁移已应用，数据库结构处于最新状态，未运行 reset/db push。
-- 浏览器验收：注册、空状态、账户创建、同日连续余额更新、外币资产、独立债务与关联、历史汇率、总览趋势及变化归因、手机退出登录。编辑过程中撤销临时会话后，服务端拒绝保存，界面清除旧弹窗和草稿；重新登录后未恢复旧草稿，数据库原名称不变。
-- 浏览器真实下载版本化备份，选择重复文件显示拒绝说明；另一临时用户中预览并明确确认恢复成功。
-- 公共汇率实际请求成功并保存日期和十进制汇率，原币未改变。
-- 390×844 手机、742px 中间视口、1280×800 桌面布局检查；手机和桌面未出现页面横向溢出，宽历史表格单独滚动。
-- 临时测试用户及其项目已清理，网站没有预置演示资产。验收截图使用明确标为“验收临时”的项目。验收期间出现的非测试用户数据已保留，清理仅针对明确创建的临时用户。
-- 每次提交前扫描本地环境中的凭证与连接元数据，环境文件、数据库文件、依赖和构建产物未纳入提交。
-
-首版限制：每次更新保留独立绝对余额记录，同日多次更新与备份恢复顺序已验证；更正替换该日记录，暂未另存更正操作的审计副本。归档项目仍计入财富，需要结清时先更新为零。首版支持十种常见币种；汇率为参考价，首次使用不会自动抓取全量历史。历史汇率缺失时该日期标记不完整，保留原币并提示换算不完整。备份仅追加，不能直接覆盖恢复到已有空间。列表暂不分页；适合个人规模数据。
-
-尚未验证或未交付：连续多日无人值守运行、生产 HTTPS 与反向代理部署、多实例共享认证限速、运行告警、真实手机浏览器与触摸设备矩阵、大规模数据性能、密码找回/变更、家庭共享。开发服务在本机可启动，当前交付不等同于生产上线。
-
-下一步建议：基于真实少量资产试用，完善筛选和分页、键盘焦点管理及历史更正审计；随后建立最小权限数据库账号、HTTPS 部署和共享限速，进行实际设备验收。家庭共享与报表作为后续独立模块。
-
-## 功能更新验收
-
-- 临时账号集成测试验证隐藏账户默认不进入列表、详情及总额；密码错误拒绝，另一会话和其他用户不继承查看权限，授权过期重新排除。
-- 分钟业务时间和变更额、v2 隐藏状态备份恢复及 v1 旧格式兼容通过。
-- 未下载备份、错误确认文字、伪造 userId、备份后数据变化均拒绝清空；成功仅删除当前临时用户数据，其他用户保留，当前用户仍可登录。
-- 用户侧栏和定时退出设置持久化，非法分钟数拒绝；过期会话及活动续期请求均被拒绝。
-- 浏览器已验证隐藏账户、密码解锁、分钟展示、侧栏隐藏后的手机导航、真实备份下载及清空下一步、一分钟无操作退出；未对实际用户执行清空操作。
-- ZIP 分文件内容及摘要校验、损坏/缺失/未知文件拒绝、真实上传与当前会话令牌隔离、确认后恢复已通过。超过 1000 个项目、单项目 10000 条历史、总计 20000 条历史的校验通过。未做 512 MB 边界和超大规模恢复压力测试。
-- 手动汇率写入 API 返回 404，界面入口已移除；已有历史汇率未删除。
+# 首版验收（2026-10-01，Asia/Hong_Kong）
+
+代码位于 E:\WorthPath，远程 origin 为用户指定 GitHub 仓库，分支 main。初始目录和仓库为空；没有覆盖已有项目文件。已有其他程序占用 API 默认端口，因此本项目使用 3100，前端使用 5173。
+
+已验证：
+
+- 后端和前端类型检查、生产构建通过。
+- 14 项单元测试通过：Decimal 精度、负债符号、缺失汇率、历史更正、汇率/余额归因、大额金额、输入和备份校验、固定公共汇率请求与失败保护。
+- 真实 MySQL 集成测试通过：注册、密码哈希、登录退出、会话失效、同源写入限制、双用户资源与历史隔离、客户端 userId 拒绝、信用卡负债、债务关联不重复求和、余额变化、同日多次更新、更正、还款金额和负债类型校验、归档金额编辑限制。
+- 备份不含认证数据；预览验证、明确确认、恢复后 ID 重建与关联保留、重复导入拒绝、已导入项目修改后重复导入仍拒绝、两请求并发导入仅一次成功，失败没有留下部分项目。
+- 四次可追踪迁移已应用，数据库结构处于最新状态，未运行 reset/db push。
+- 浏览器验收：注册、空状态、账户创建、同日连续余额更新、外币资产、独立债务与关联、历史汇率、总览趋势及变化归因、手机退出登录。编辑过程中撤销临时会话后，服务端拒绝保存，界面清除旧弹窗和草稿；重新登录后未恢复旧草稿，数据库原名称不变。
+- 浏览器真实下载版本化备份，选择重复文件显示拒绝说明；另一临时用户中预览并明确确认恢复成功。
+- 公共汇率实际请求成功并保存日期和十进制汇率，原币未改变。
+- 390×844 手机、742px 中间视口、1280×800 桌面布局检查；手机和桌面未出现页面横向溢出，宽历史表格单独滚动。
+- 临时测试用户及其项目已清理，网站没有预置演示资产。验收截图使用明确标为“验收临时”的项目。验收期间出现的非测试用户数据已保留，清理仅针对明确创建的临时用户。
+- 每次提交前扫描本地环境中的凭证与连接元数据，环境文件、数据库文件、依赖和构建产物未纳入提交。
+
+首版限制：每次更新保留独立绝对余额记录，同日多次更新与备份恢复顺序已验证；更正替换该日记录，暂未另存更正操作的审计副本。归档项目仍计入财富，需要结清时先更新为零。首版支持十种常见币种；汇率为参考价，首次使用不会自动抓取全量历史。历史汇率缺失时该日期标记不完整，保留原币并提示换算不完整。备份仅追加，不能直接覆盖恢复到已有空间。列表暂不分页；适合个人规模数据。
+
+尚未验证或未交付：连续多日无人值守运行、生产 HTTPS 与反向代理部署、多实例共享认证限速、运行告警、真实手机浏览器与触摸设备矩阵、大规模数据性能、密码找回/变更、家庭共享。开发服务在本机可启动，当前交付不等同于生产上线。
+
+下一步建议：基于真实少量资产试用，完善筛选和分页、键盘焦点管理及历史更正审计；随后建立最小权限数据库账号、HTTPS 部署和共享限速，进行实际设备验收。家庭共享与报表作为后续独立模块。
+
+## 功能更新验收
+
+- 临时账号集成测试验证隐藏账户默认不进入列表、详情及总额；密码错误拒绝，另一会话和其他用户不继承查看权限，授权过期重新排除。
+- 分钟业务时间和变更额、v2 隐藏状态备份恢复及 v1 旧格式兼容通过。
+- 未下载备份、错误确认文字、伪造 userId、备份后数据变化均拒绝清空；成功仅删除当前临时用户数据，其他用户保留，当前用户仍可登录。
+- 用户侧栏和定时退出设置持久化，非法分钟数拒绝；过期会话及活动续期请求均被拒绝。
+- 浏览器已验证隐藏账户、密码解锁、分钟展示、侧栏隐藏后的手机导航、真实备份下载及清空下一步、一分钟无操作退出；未对实际用户执行清空操作。
+- ZIP 分文件内容及摘要校验、损坏/缺失/未知文件拒绝、真实上传与当前会话令牌隔离、确认后恢复已通过。超过 1000 个项目、单项目 10000 条历史、总计 20000 条历史的校验通过。未做 512 MB 边界和超大规模恢复压力测试。
+- 手动汇率写入 API 返回 404，界面入口已移除；已有历史汇率未删除。
+
+内网穿透测试更新：支持本地 `WEB_ORIGIN=*`；HTTP/HTTPS 来源探测均通过来源校验，缺失或 null 来源拒绝。精确来源模式及生产禁止通配符的单元校验通过。此轮 14 项单元测试、2 项数据库集成测试、类型检查和构建通过；未执行外网穿透链路端到端验收。