H-10：CORS Origin 白名单，去掉通配带凭证
holdingk-web CORS 去掉 * + credentials；Origin 走配置白名单。叠在 H-9 上。
Summary
- 删除
ALLOW_ORIGIN="*"+setAllowCredentials(true)+addAllowedOriginPattern("*") - 新增
holdingk.cors.allowed-origins/allow-credentials：空列表只允许同源；配置里的*丢弃并打 warn；credentials 仅对剩余白名单开启（默认 false） -
application-local.yaml仅放开http://localhost:3100与127.0.0.1:3100；不升 config-repo、不改前端
Test plan
-
CorsConfigurationFactoryTest（恶意 Origin 不反射、精确/子域白名单、*丢弃） -
OPTIONS
Origin: https://evil.example不回该 Origin、无 credentials true -
同源
/basic-api登录与业务接口不回归
无 Maven 升版、无 Flyway、无前端仓。方案：钉钉 H-10