CORS 与正常鉴权
在框架根目录运行：
go run ./examples/cors
WEB_ORIGIN=https://admin.example go run ./examples/cors
仅监听临时 localhost 端口，不依赖数据库或外部服务。配置由统一 LoadProject 加载，示例模拟浏览器 Origin/预检请求头，依次检查：
- OPTIONS 预检返回 204，无需登录。
- 实际 GET 未登录仍返回 401，前端可读取这条错误响应。
- 示例凭据通过后返回 200。
- 404 也保留允许来源的 CORS 响应头。
示例 Token 仅用于展示，项目使用自身鉴权实现。CORS 不验证 Token，也不保证其他客户端不能调用 API。完整规则与配置见 cors。