feat: add configurable transport-independent CORS policy

examples/cors/README.md

@@ -0,0 +1,17 @@
+# CORS 与正常鉴权
+
+在框架根目录运行：
+
+```sh
+go run ./examples/cors
+WEB_ORIGIN=https://admin.example go run ./examples/cors
+```
+
+仅监听临时 localhost 端口，不依赖数据库或外部服务。配置由统一 LoadProject 加载，示例模拟浏览器 Origin/预检请求头，依次检查：
+
+- OPTIONS 预检返回 204，无需登录。
+- 实际 GET 未登录仍返回 401，前端可读取这条错误响应。
+- 示例凭据通过后返回 200。
+- 404 也保留允许来源的 CORS 响应头。
+
+示例 Token 仅用于展示，项目使用自身鉴权实现。CORS 不验证 Token，也不保证其他客户端不能调用 API。完整规则与配置见 [cors](../../cors/README.md)。