feat(migrate): 用户中心迁到 pangolin.yanmeiai.com/user/ + 域名配置化

原独立子域 app.yanmeiai.com → 主站子路径 /user/(用户选停用旧域名):
- 域名配置化(去硬编码):客户端 kWebUserCenterBaseUrl 收进 api_config.dart
  (dart-define 可覆盖);官网 site.ts、服务端 CORS_ORIGINS 本就是配置
- 用户中心 next.config basePath=/user;layout.tsx 的 /colors_and_type.css 手动
  拼 basePath(public 根绝对资源不自动加前缀,否则 404)
- CI 合并部署:compile-site + compile-usercenter + combine-site(用户中心并入
  dist/user/ + _headers 按 /user/* 分域:官网严格 CSP,用户中心 unsafe-inline+
  connect-src https)→ 单次部署 pangolin-site;删独立 pangolin-usercenter 部署
- 服务端 CORS 默认 origin app.yanmeiai.com → pangolin.yanmeiai.com(+ 测试)
- 客户端 web_launch 走新址 → 随 client-v1.0.62;go test CORS 过、flutter analyze 净

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u

server/internal/httpapi/cors.go

@@ -16,7 +16,9 @@ import (
 func NewCORS() func(http.Handler) http.Handler {
 	raw := os.Getenv("CORS_ORIGINS")
 	if raw == "" {
-		raw = "https://app.yanmeiai.com,https://pangolin-usercenter.pages.dev"
+		// 用户中心已迁到主站子路径 pangolin.yanmeiai.com/user/,其 origin 即主站域名
+		// (旧 app.yanmeiai.com 已停用)。pages.dev 为 CF Pages 直连兜底。
+		raw = "https://pangolin.yanmeiai.com,https://pangolin-site.pages.dev"
 	}
 	allowed := map[string]bool{}
 	for _, o := range strings.Split(raw, ",") {

server/internal/httpapi/cors_test.go

@@ -7,17 +7,17 @@ import (
 )
 
 func TestCORS(t *testing.T) {
-	t.Setenv("CORS_ORIGINS", "https://app.yanmeiai.com")
+	t.Setenv("CORS_ORIGINS", "https://pangolin.yanmeiai.com")
 	mw := NewCORS()
 	next := http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(200) })
 	h := mw(next)
 
 	// 允许的 Origin:补 Allow-Origin,普通请求继续。
 	r := httptest.NewRequest("POST", "/v1/auth/login", nil)
-	r.Header.Set("Origin", "https://app.yanmeiai.com")
+	r.Header.Set("Origin", "https://pangolin.yanmeiai.com")
 	w := httptest.NewRecorder()
 	h.ServeHTTP(w, r)
-	if got := w.Header().Get("Access-Control-Allow-Origin"); got != "https://app.yanmeiai.com" {
+	if got := w.Header().Get("Access-Control-Allow-Origin"); got != "https://pangolin.yanmeiai.com" {
 		t.Fatalf("allowed origin: want header, got %q", got)
 	}
 	if w.Code != 200 {
@@ -26,7 +26,7 @@ func TestCORS(t *testing.T) {
 
 	// OPTIONS 预检:204,不落到业务。
 	r = httptest.NewRequest("OPTIONS", "/v1/auth/login", nil)
-	r.Header.Set("Origin", "https://app.yanmeiai.com")
+	r.Header.Set("Origin", "https://pangolin.yanmeiai.com")
 	w = httptest.NewRecorder()
 	h.ServeHTTP(w, r)
 	if w.Code != http.StatusNoContent {