security: harden control and callback boundaries

[PeterGuy326]

变更

• 为控制面 API 增加可选 Bearer token、默认保护未来 /waitqueue/* 路由、轻量限流和 32 KiB JSON 请求上限
• 为 callback 增加精确 origin allowlist、私网/本机拦截、DNS 全量校验与连接地址固定，并禁止重定向和超大响应
• 增加不泄露 token、Cookie、hook URL、taskId 和任意查询/路径内容的结构化审计日志
• 将控制台改为运行时白名单代理，校验 Host/method/path/media type，服务端注入 token 且不转发浏览器凭据
• 更新 Compose、CI 安全冒烟与两份 README 的部署和使用说明

验证

• pnpm --dir wait-queue test（51/51）
• pnpm --dir wait-queue build
• pnpm --dir admin-dashboard typecheck
• pnpm --dir admin-dashboard build
• 后端、前端生产依赖审计：无已知漏洞
• actionlint + ShellCheck + YAML 解析
• linux/amd64 API/migrate 镜像构建
• Compose 真实 MySQL/Redis/API/Dashboard/Mock Hook 安全与脱敏冒烟
• 两轮独立静态安全审查：0 blocker / 0 medium

Closes #3