feat: 重构认证流程，升级工具功能并优化后端配置

- 修复token泄露风险：改用X-Local-Creds-Token请求头传递token，从URL Hash读取set_token避免日志记录
- 重构全站认证逻辑：提取公用工具函数统一各服务的认证校验流程
- 升级投资账本工具：支持本地上传CSV和粘贴文本，移除硬编码路径，适配新参数格式
- 新增403/404/500标准错误响应文件，统一API错误返回格式
- 优化后端配置：关闭ETag，重构CORS中间件，新增全局错误捕获，限制敏感文件访问
- 优化web zen box的Service Worker，支持音频分片请求与断点续传
- 清理冗余前端代码，调整页面格式与权限控制

public/tools/investment_ledger/index.html

@@ -11,8 +11,10 @@
     <section class="panel">
       <h1>投资事件账本 V1</h1>
       <div class="form-grid">
-        <label>CSV 文件路径</label>
-        <input id="filePath" type="text" value="d:\Trae_Files\TRAE-Toolbox\temp\工作簿1.csv" />
+        <label>CSV 文件</label>
+        <input id="fileInput" type="file" accept=".csv,.txt,text/csv,text/plain" />
+        <label>CSV 文本</label>
+        <textarea id="rawText" rows="5" placeholder="可直接粘贴 CSV 原文；如果已选择文件，这里可以留空。"></textarea>
         <label>标的代码</label>
         <input id="symbol" type="text" value="510500" />
       </div>