常见问题

为什么浏览器直接请求管理 API 会失败？

默认 CORS 拒绝策略 + Host 校验会阻断来自普通浏览器页面的跨域调用，这是预期行为。

为什么关闭 Desktop 后配置服务仍可访问？

Core 是独立进程。Desktop 只是管理界面，关闭 GUI 不会停止 Core。

如何避免敏感信息泄露？

不要在日志和配置中写明文密钥，优先使用 SecretStore，并定期轮换 token。